关于SQL注入

      今天看视频看到了sql注入这个问题，然后通过自己的实际操作也使用这个手段直接从界面操作到了自己的数据库，感觉这个技术有点强，就去网上查了查。

       Sql 注入的定义是SQL是操作数据库数据的结构化查询语言，网页的应用数据和后台数据库中的数据进行交互时会采用SQL。而SQL注入是将Web页面的原URL、表单域或数据包输入的参数，修改拼接成SQL语句，传递给Web服务器，进而传给数据库服务器以执行数据库命令。如Web应用程序的开发人员对用户所输入的数据或cookie等内容不进行过滤或验证(即存在注入点)就直接传输给数据库，就可能导致拼接的SQL被执行，获取对数据库的信息以及提权，发生SQL注入攻击。

      原理主要是SQL注入攻击是通过操作输入来修改SQL语句，用以达到执行代码对WEB服务器进行攻击的方法。简单的说就是在post/getweb表单、输入域名或页面请求的查询字符串中插入SQL命令，最终使web服务器执行恶意命令的过程。可以通过一个例子简单说明SQL注入攻击。假设某网站页面显示时URL为http://www.example.com?test=123，此时URL实际向服务器传递了值为123的变量test，这表明当前页面是对数据库进行动态查询的结果。由此，我们可以在URL中插入恶意的SQL语句并进行执行。另外，在网站开发过程中，开发人员使用动态字符串构造SQL语句，用来创建所需的应用，这种情况下SQL语句在程序的执行过程中被动态的构造使用，可以根据不同的条件产生不同的SQL语句，比如需要根据不同的要求来查询数据库中的字段。这样的开发过程其实为SQL注入攻击留下了很多的可乘之机。

    我看到并使用的解决方案主要是把这个值不是直接原封不动的传到数据库中，而是以字符段的形式传入其中。例：

DataTable dt = new DataTable();

            string cmdText = "news_selectByCaId";

            SqlParameter[] paras = new SqlParameter[]

                {

                new SqlParameter("@caid",caid)

                };

            dt = sqlhelper.ExecuteQuery(cmdText, paras, CommandType.StoredProcedure);

            return dt;