ASP.NET的SQL注入过滤器方法

Question

我的字段是自由格式的文本，几乎允许数字/符号的任何组合。 验证这些内容以防止SQL注入的最佳方法是什么？ 我可以简单地替换刻度线吗？ 有没有可以插入使用的方法？

Answer 1

只需使用参数化查询！ 在此处查看本文： http : //www.functionx.com/aspnet/sqlserver/parameterized.htm

Answer 2

这里概述了各种方法： 如何：防止ASP.NET中的SQL注入

引用：

对策包括使用可接受的字符列表来限制输入，使用参数化的SQL进行数据访问以及使用在数据库中具有受限权限的最低特权帐户。 建议对参数化的SQL使用存储过程，因为SQL参数是类型安全的。 类型安全的SQL参数也可以与动态SQL一起使用。 在无法使用参数化SQL的情况下，请考虑使用字符转义技术。

验证控件虽然可以在服务器端而非客户端运行，但它们可以提供帮助。 ASP.NET确实也内置了一些保护，但是我不会单独依赖它。