防止sql注入_stringbuilder 能防止sql 注入嘛-CSDN博客

本文链接：https://blog.csdn.net/thecityofsky/article/details/4269662

今天在论坛上看到一篇防止sql注入的讨论；我对这方面也不是很了解，所以就整理下别人发的代码。

一般用的sql防止注入的是那种过滤关键字和替换字符

public static string CleanString(string inputString) { StringBuilder retVal = new StringBuilder(); if ((inputString != null) && (inputString != String.Empty)) { inputString = inputString.Trim(); for (int i = 0; i < inputString.Length; i++) { switch (inputString[i]) { case '"': retVal.Append("""); break; case ' <': retVal.Append("<"); break; case '>': retVal.Append(">"); break; default: retVal.Append(inputString[i]); break; } } retVal.Replace("'", " "); } return retVal.ToString(); }

一般的用户都是使用存储过程，这样能防止一些语句注入，或者使用sqlParameter

protected void Application_BeginRequest(object sender, EventArgs e) { this.isValidParameter(ConfigurationSettings.AppSettings["SqlParameters"], ConfigurationSettings.AppSettings["SpecialParameters"]); } private void isValidParameter(string sql, string special) { bool flag = false; string[] error = null; foreach (string strForm in this.Request.Form) { if ("__VIEWSTATE,__EVENTTARGET,__EVENTARGUMENT,__PREVIOUSPAGE,__EVENTVALIDATION".IndexOf(strForm) > -1 || Request.Form[strForm].Trim().Equals("")) continue; if (this.CheckKey(Request.Form[strForm], sql, special)) { flag = true; error = new string[] { "Form", strForm }; break; } } foreach (string strQuery in this.Request.QueryString) { if (Request.QueryString[strQuery].Trim().Equals("")) continue; if (this.CheckKey(Request.QueryString[strQuery], sql, special)) { flag = true; error = new string[] { "QueryString", strQuery }; break; } } Application["ErrorParameters"] = error; if (flag) Server.Transfer("~/Error.aspx"); } private bool CheckKey(string key, string StrKey, string StrRegex) { return (Regex.IsMatch(key, StrKey, RegexOptions.IgnoreCase) || Regex.IsMatch(key, StrRegex) ? true : false); }

或者在Web.Config配置文件中添加配置