【黑马程序员】登录时防止SQL注入漏洞攻击

----------------------Windows Phone 7手机开发、.Net培训、期待与您交流！ ----------------------

防止SQL注入漏洞攻击的方法：不使用SQL语句拼接，通过参数赋值。

使用SQL语句拼接时，用密码1' or '1'='1，可以登录成功。所以为了网站的安全，还是通过参数赋值的方式来登陆。

class Program
    {
        static void Main(string[] args)
        {
            Console.WriteLine("请输入用户名：");
            string username = Console.ReadLine();
            Console.WriteLine("请输入密码：");
            string pwd = Console.ReadLine();


            using (SqlConnection conn = new SqlConnection("data source=.;database=ado;uid=ado;pwd=123;"))
            {
                conn.Open();

                using (SqlCommand cmd = new SqlCommand())
                {
                    cmd.Connection = conn;
                    cmd.CommandText = "select count(*) from users where username='" + username + "'and password='" + pwd + "'";
                    //用以上的SQL语句拼接，会出现注入漏洞。。。。。用密码1' or '1'='1，都能登录成功
                   
                    //参数赋值
                    //cmd.CommandText = "select count(*) from users where username=@UN and password=@PWD";
                    //cmd.Parameters.Add(new SqlParameter("UN", username));
                    //cmd.Parameters.Add(new SqlParameter("PWD", pwd));
                    int i = Convert.ToInt32(cmd.ExecuteScalar());
                    if (i > 0)
                    {
                        Console.WriteLine("登录成功");
                    }
                    else
                    {
                        Console.WriteLine("用户名或密码错误！");
                    }
                }
            }
     
            Console.ReadKey();
        }
    }

----------------------Windows Phone 7手机开发、.Net培训、期待与您交流！ ----------------------