如果我在sql字段中插入查询,这很危险

Question

这不是sql注入

例如,想象用户在Web表单中填写我的表单应用程序,在表单用户写入的一个字段中(从用户中选择*)或写入危险的sql脚本并发送数据以及在我的数据库中设置的所有内容,以便我的表中的记录,例如

id  |  title | desc
--------------------
1   |  first | select * from users

如何保护它？或者一般来说这是危险的？TNX

Answer 1

这不是sql注入

这是SQL注入

如何保护它？或者一般来说这是危险的？

因为你有标记的asp.net总是使用参数化查询.
请参阅:在C#中使用带有SqlDataSource(C#)和 参数化SQL查询的参数化查询

编辑: 自从关于实体的使用的评论中提到的OP.应考虑以下几点:

防止SQL注入攻击. - 实体框架 - MSDN

LINQ to Entities注入攻击:

尽管在LINQ to Entities中可以进行查询组合,但它是通过对象模型API执行的.与实体SQL查询不同,LINQ to Entities查询不是使用字符串操作或连接组成的,并且它们不易受传统SQL注入攻击的影响.