查询生成器是否阻止SQL注入？

Question

大家好，我目前正在使用查询生成器在ASP.NET中工作，以便在我在App_Code文件夹中创建的某些数据集上创建选择，插入，更新查询等。 我已经为您意识到要在查询中使用参数，您必须使用“？” 像这样

SELECT * FROM users WHERE email = ?

我想知道的是，这实际上可以保护您的表免受sql注入吗？还是需要在代码中做更多操作以保护查询？

Answer 1

参数化查询接受参数并将其输入为适当的SQL数据类型。 因此，例如创建此过程

CREATE PROCEDURE GetStudent (IN LN VARCHAR(200))
  BEGIN
    SELECT Name FROM Students WHERE LastName = LN;
  END

并传递此值（假设这在您的C＃代码中。

"'Bobby'; DROP TABLE STUDENTS;"

本质上将执行此查询

SELECT Name FROM Students WHERE LastName ='''Bobby;''DROP TABLE Students'

这是相当安全的。

当然，您将必须适应您的特定应用程序需求，但是总的来说，对于所有主要的RDMS而言，参数化查询对于SQL注入都是安全的。