消毒SQL數據

Question

谷歌變成了各種各樣的消毒Web訪問查詢的討論，但我沒有找到任何解決什麼，我關心的是：在C＃程序

消毒用戶輸入數據。這必須通過可逆轉化來完成，而不是通過去除。作爲問題的一個簡單例子，我不想破壞愛爾蘭人的名字。

什麼是最好的方法，是否有任何庫函數呢？

Answer 1

這取決於您使用的SQL數據庫。例如，如果你想在MySQL中使用單引號，你需要使用一個反斜槓Dangerous：'和一個逃脫的轉義字符：\'。對於MS-SQL，情況完全不同，危險：'轉義：''。當您以這種方式轉義數據時，不會刪除任何內容，它是一種表示控制字符的方式，如字面形式的引號。

下面是使用MS-SQL和C＃參數化查詢，從Docs採取的一個例子：

private static void UpdateDemographics(Int32 customerID, 
    string demoXml, string connectionString) 
{ 
    // Update the demographics for a store, which is stored 
    // in an xml column. 
    string commandText = "UPDATE Sales.Store SET Demographics = @demographics " 
     + "WHERE CustomerID = @ID;"; 

    using (SqlConnection connection = new SqlConnection(connectionString)) 
    { 
     SqlCommand command = new SqlCommand(commandText, connection); 
     command.Parameters.Add("@ID", SqlDbType.Int); 
     command.Parameters["@ID"].Value = customerID; 

     // Use AddWithValue to assign Demographics. 
     // SQL Server will implicitly convert strings into XML. 
     command.Parameters.AddWithValue("@demographics", demoXml); 

     try 
     { 
      connection.Open(); 
      Int32 rowsAffected = command.ExecuteNonQuery(); 
      Console.WriteLine("RowsAffected: {0}", rowsAffected); 
     } 
     catch (Exception ex) 
     { 
      Console.WriteLine(ex.Message); 
     } 
    } 
} 

對於MySQL我不知道，你可以使用參數化查詢庫。您應該使用mysql_real_escape_string()或者任意使用此功能。：

public static string MySqlEscape(this string usString) 
{ 
    if (usString == null) 
    { 
     return null; 
    } 
    // SQL Encoding for MySQL Recommended here: 
    // http://au.php.net/manual/en/function.mysql-real-escape-string.php 
    // it escapes \r, \n, \x00, \x1a, baskslash, single quotes, and double quotes 
    return Regex.Replace(usString, @"[\r\n\x00\x1a\\'""]", @"\$0"); 
} 

Answer 2

使用適當構造的DAL與SQL參數對象交給存儲過程，您不必擔心這一點。實現業務對象和dal以足夠抽象用戶輸入，以使其不作爲SQL執行，而是作爲值進行識別。示例很有趣：

public class SomeDal 
{ 
    public void CreateUser(User userToBeCreated) 
    { 
     using(connection bla bla) 
     { 
      // create and execute a command object filling its parameters with data from the User object 
     } 
    } 
} 

public class User 
{ 
    public string Name { get; set; } 
    ... 
} 

public class UserBL 
{ 
    public CreateUser(User userToBeCreated) 
    { 
     SomeDal myDal = new SomeDal(); 
     myDal.CreateUser(userToBeCreated); 
    } 
} 

public class SomeUI 
{ 
    public void HandleCreateClick(object sender, e ButtonClickEventArgs) 
    { 
     User userToBeCreated = new User() { Name = txtName.Text }; 
     UserBL userBl = new UserBL(); 
     userBl.CreateUser(userToBeCreated); 
    } 
}