SQL Server如何在动态sql中防止sql注入

Question

我有一个使用SQL2012作为数据库服务器的ASP.Net MVC应用程序。我使用了视图、存储过程(有/没有动态sql查询)。我听说动态sql可能是sql注入的牺牲品。

这是我的一个示例动态查询。

DECLARE @Username AS Varchar(100);
DECLARE @Password AS Varchar(100);

SET @Username = 'user1';
SET @Password = '123';

DECLARE @Query AS VARCHAR(MAX);

SET @Query = 'SELECT * FROM USERS WHERE Username ='+ @Username+ ' AND Password = '+@Password+';

EXEC(@Query)

如何编写防止sql注入的查询？

Answer 1

这个前提在SQL中和在应用程序代码中基本上是一样的.永远不要将输入直接连接为代码，而是将其作为参数处理。因此，如果您的查询如下所示：

SET @Query = 'SELECT * FROM USERS WHERE Username = @Username AND Password = @Password';

然后，您可以使用sp_executesql使用参数执行它。

exec sp_executesql @Query, N'@Username varchar(100), @Password varchar(100)', @Username, @Password