使用Javascript或C#防止SQL注入的最佳方法？

Question

我目前正在编写一个应用程序,它在前端使用ajax,在后端使用ASP.NET(C#).

应用程序的一小部分对后端代码执行AJAX调用(从SQL数据库获取条目)

如何防止SQL注入JScript？

我知道用javascript验证通常是不安全的,因为javascript可以关闭,但因为这是一个AJAX调用,所以如果用户关闭了javascript,AJAX将永远不会运行.

什么是验证或转发输入的最佳方法？

像PHP中的Add_Slashes()？

谢谢

丹尼尔

Answer 1

无论来电来自何处,都需要在服务器端进行针对SQL注入的防护.

基于Javascript的卫生方法总是无用的,因为Javascript在客户端运行,因此可以伪造.

这也适用于AJAX调用:客户端不需要关闭JavaScript; 他们只需要操纵他们从您的网站下载的Javascript代码进行虚假验证.

永远不会依赖客户端数据卫生.

Answer 2

使用参数化查询,永远不构建SQL代码字符串.