解决SQLinjection的问题

Question

对于我的登录控件,我在SQL语句中使用参数.麻烦的是,如果人们使用SQLinjection,我担心他们也能够进入.

我有两个文本框,值传递给SQL语句,这将检查是否在数据库中找到值.

有没有办法确保这是不可能的？我知道在PHP中你需要使用文本框前面的东西.

谢谢你的时间!

Answer 1

在查询中使用参数:

// C#
SqlCommand cmd = new SqlCommand("UPDATE Products SET description = @Description WHERE id = @ID");
cmd.Parameters.AddWithValue("@Description", "something");
cmd.Parameters.AddWithValue("@ID", 123);

和VB.net中的等价物:

// VB.net
Dim cmd As New SqlCommand("UPDATE Products SET description = @Description WHERE id = @ID")
cmd.Parameters.AddWithValue("@Description", "something")
cmd.Parameters.AddWithValue("@ID", 123)