C# Parametized Parameters използва sp_executesql за изпълнение на SQL оператори

Малък боклук · Публикувано в 18.09.2016 г. 15:44:20 ч.

Знаем, че когато правим заявка към базата данни, често трябва да въведем някои условия, за да я запитам.

Тези условни източници идват от клиентски потребителски заявки, и ако клиентът има злонамерен низ,

Заявете до нашия сървър и формирайте сплайснат SQL оператор.

Така може да се формира SQL инжекция

Параметрите могат ефективно да предотвратят инжектирането на sql, как знаем как Parameters го правят? Как се реализира?

Ето един C# код:

Входът е видим.

Нека разгледаме един код, намерен в Интернет, какъв код се генерира в базата данни:

Входът е видим.

https://msdn.microsoft.com/zh-cn/library/ms188001.aspx

Линкът по-горе е официалното въведение на Microsoft в sp_executesql.

Pursuetao · Публикувано в 7.01.2022 г. 15:04:55 ч.

дддд

[Източник] C# Parametized Parameters използва sp_executesql за изпълнение на SQL оператори

Свързани публикации

Разгледани секции