参数化查询是避免sql注入的唯一方法？

Question

除了参数化查询之外，是否有一种方法（特别是使用ASP.net工具）来避免sql注入？

Answer 1

最简单的方法之一就是所谓的消毒。 构造SQL语句时只需Replace( vsInputString, "'", "''") ：

Dim vsSQLStatement = "SELECT * FROM table01 WHERE myField = '" & Replace(vsFormTextInput, "'", "''" ) & "';"

也将有助于停止SQL注入。

Answer 2

当然是。 除了参数化查询，您还应该考虑以下因素：

1. 使用存储过程
2. 使用受限访问帐户连接到数据库（非管理员级别）
3. 加密ConnectionString和其他敏感数据
4. 设置debug = false（在customError中）以在发生错误时最小化信息

希望对您有帮助。