Page.OnPreLoad 方法对系统注入漏洞进行弥补

本来开发的是一个内部使用的系统（WebForm项目），对安全性没有较多考虑，Sql注入漏洞这种常见的问题也没有考虑，罪过大了~~更要命的是，突然有一天系统要对外开放，有外部人员需要使用这个系统了，想想所有的Sql语句都是通过字符串拼接的方式写成的~~~

虽然是一个很少人用的系统，但是必须对SQL注入问题进行弥补。要是此时对Sql语句全部重写，工作量太大。

然后就想找过滤器这种东西，但是对WebForm理解真的很肤浅，也没有找到WebForm过滤器方面的资料。所幸系统的所有页面都有一个基类BasicClass，就想通过BasicClass，对用户输入数据进行筛查过滤。  BasicClass只写了一个方法  protected override void OnInit(EventArgs e)，在方法里面调试发现，页面的控件还没有加载，晕死，WebForm真的很难懂~~

最后在System.Web.UI.Page里面找到了一个方法Page.OnPreLoad，看文档解释：在回发数据已加载到页服务器控件之后但在 OnLoad 事件之前，引发 PreLoad 事件。OnPreLoad 方法在从用户返回的所有回发数据都已加载后调用。在页生命周期的此阶段中，已声明控件和在初始化阶段创建的控件的视图状态信息和回发数据都被加载到页的控件中。

看这意思，应该是有用的，于是就在BasicClass里面重写这个方法

        protected override void OnPreLoad(EventArgs e)
        {
            foreach (Control control in this.Form.Controls)
            {
                if (control is TextBox)
                {
                    TextBox textbox = (TextBox)control;
                    if (textbox.Text.Trim().Length>0)
                    {                        
                        string strFilterWord = @"|and|exec|insert|select|delete|update|count|*|%|
                                                    chr|mid|master|truncate|char|declare|;|or|'|--";
                        string[] strWords = strFilterWord.Split(new char[] { '|' }, StringSplitOptions.RemoveEmptyEntries);
                        textbox.Text = string.Join("", textbox.Text.Split(strWords, StringSplitOptions.RemoveEmptyEntries));
                    }       
                }
            }
        }