如何有效的防止SQL连接字符串注入

 概念：在编写安全代码时，最重要的规则之一就是“绝对不要盲目的相信用户的输入”。

利用ADO.NET 2.0的SqlConnectionStringBuilder类生成数据库连接字符串，它可以有效的防止“SQL连接字符串恶意注入”，因为这个类是专门为SQL SERVER设计的所以；它兼容旧式关键字。关于如何使用SqlConnectionStringBuilder类，请参考我以前写的一篇“智能数据库连接生成器”文章里。

 

防止SQL数据库连接字符串示例

 

C#后台示例代码：

SqlConnectionStringBuilder bldr = new SqlConnectionStringBuilder(); bldr.DataSource = @"./SQLExpress"; bldr.InitialCatalog = "Pubs"; bldr.UserID = textBox1.Text; bldr.Password = textBox2.Text;

 

刚才看到前台用户在用户名输入的用户名字符串，就是恶意SQL注入，而SqlConnectionStringBuilder会把

“用户名；Data Source=Northwind”的字符串作为“UesrID”来登录数据库。这就防止恶意的注入了。

 

最后希望能和志同道合的开发同志，一起学习，一起分享。谢谢