ASP.NET MVC:简单的SQL注入安全性

Question

我正在开发一个ASP.NET MVC 3应用程序,并且需要一种绕过SQL注入的方法,一些简单的方法会很有用.我已经关注了微软关于此事的文章,但它似乎与我的代码和结构不符.

任何帮助是极大的赞赏

Answer 1

为了防止sql注入:

不要形成任何动态的SQL.

1. 使用存储过程(并且不要在存储过程中包含任何动态sql - 如果确实使用sp_executesql而不是exec,因为sp_executesql可以使用参数化查询
2. 使用参数化查询
3. 使用ORM(例如实体框架),它在幕后使用参数化查询.

尽量不要使用任何动态SQL - 如果由于某种原因必须确保使用参数化查询.

不要只是简单地使用动态sql并从中删除引号 - 假设这将是唯一的攻击向量有点危险.