C#和MySQL .NET连接器-防止泛型类中的SQL注入攻击的任何方法？

Question

我的想法是通过C# (3.5) Winforms应用程序创建一些用于插入/更新/选择的泛型类，通过MySQL .NET连接器6.2.2与MySQL数据库对话。

例如：

public void Insert(string strSQL)
{
   if (this.OpenConnection() == true)
   {
       MySqlCommand cmd = new MySqlCommand(strSQL, connection);
       cmd.ExecuteNonQuery();
       this.CloseConnection();
   }
}

然后，在程序中的任何地方，只要传递一个SQL查询字符串，我就可以运行一个有/没有用户输入的查询。

因此，阅读开始给我的指示是，这可能导致SQL注入攻击(对于任何用户输入值)。是否需要清除输入的strSQL，还是需要在每个需要执行数据库功能的方法中创建单独的参数化查询？

UPDATE1:

我的最终解决方案如下所示：

public void Insert(string strSQL,string[,] parameterValue)
{
   if (this.OpenConnection() == true)
   {
       MySqlCommand cmd = new MySqlCommand(strSQL, connection);

       for(int i =0;i< (parameterValue.Length / 2);i++)
       {                        
       cmd.Parameters.AddWithValue(parameterValue[i,0],parameterValue[i,1]);          
       }

       cmd.ExecuteNonQuery();
       this.CloseConnection();
   }}

Answer 1

您肯定应该使用参数化查询来保护自己的安全。

不过，您不必每次都手工创建参数化查询。您可以修改您提供的接受MySqlParameters集合的泛型方法。

public void Insert(string strSQL, List<MySqlParameter> params)
{
    if(this.OpenConnection() == true)
    {
        MySqlCommand cmd = new MySqlCommand(strSQL, connection)
        foreach(MySqlParameter param in params)
            cmd.Parameters.Add(param);

        cmd.ExecuteNonQuery();
        this.CloseConnection();
    }
}

我还应该提到，在使用完连接后，您应该非常小心地清理它们(通常在using块中处理，但我在代码示例中没有看到这个级别的细节)。

Answer 2

参数化很容易实现。它比清理SQL查询容易得多，也比手动转义容易得多。

从本教程页中略作编辑的复制/粘贴是因为我觉得自己很懒：

// User input here
Console.WriteLine("Enter a continent e.g. 'North America', 'Europe': ");
string userInput = Console.ReadLine();

string sql = "SELECT Name, HeadOfState FROM Country WHERE Continent=@Continent";
MySqlCommand cmd = new MySqlCommand(sql, conn);
cmd.Parameters.AddWithValue("@Continent", userInput);

using (MySqlDataReader dr = cmd.ExecuteReader())
{
    // etc.
}

这并不难，是吗？)

Answer 3

事后不可能检测到SQL注入(换句话说，一旦构建了动态查询字符串，就不可能区分“真实”SQL与任何注入的SQL)。

如果您的目的是允许用户执行任意SQL，那么您似乎不会太担心SQL注入(因为这就是SQL注入的目标)。