C# Parametrizované parametry používají sp_executesql k provádění SQL příkazů

Malý hajzl · Zveřejněno 18.09.2016 15:44:20

Víme, že když dotazujeme databázi, často musíme použít určité podmínky pro dotazování databáze.

Tyto podmíněné zdroje pocházejí všechny z požadavků klientských uživatelů, a pokud má klient škodlivý řetězec,

Vyžádejte na náš server a vytvořte splicovaný SQL příkaz.

Tím lze vytvořit SQL injection

Parametry mohou efektivně zabránit SQL injection, jak víme, jak to parametry dělají? Jak se to realizuje?

Tady je kód v C#:

Přihlášení je viditelné.

Podívejme se na kus kódu nalezený na internetu, jaký kód se generuje v databázi:

Přihlášení je viditelné.

https://msdn.microsoft.com/zh-cn/library/ms188001.aspx

Odkaz výše je oficiálním úvodem Microsoftu do sp_executesql.

pursuetao · Zveřejněno 07.01.2022 15:04:55

[Zdroj] C# Parametrizované parametry používají sp_executesql k provádění SQL příkazů

Související příspěvky

Prohlížené sekce