消毒SQL数据

Question

谷歌变成了各种各样的消毒Web访问查询的讨论，但我没有找到任何解决什么，我关心的是：在C＃程序

消毒用户输入数据。这必须通过可逆转化来完成，而不是通过去除。作为问题的一个简单例子，我不想破坏爱尔兰人的名字。

什么是最好的方法，是否有任何库函数呢？

Answer 1

这取决于您使用的SQL数据库。例如，如果你想在MySQL中使用单引号，你需要使用一个反斜杠Dangerous：'和一个逃脱的转义字符：\'。对于MS-SQL，情况完全不同，危险：'转义：''。当您以这种方式转义数据时，不会删除任何内容，它是一种表示控制字符的方式，如字面形式的引号。

下面是使用MS-SQL和C＃参数化查询，从Docs采取的一个例子：

private static void UpdateDemographics(Int32 customerID, 
    string demoXml, string connectionString) 
{ 
    // Update the demographics for a store, which is stored 
    // in an xml column. 
    string commandText = "UPDATE Sales.Store SET Demographics = @demographics " 
     + "WHERE CustomerID = @ID;"; 

    using (SqlConnection connection = new SqlConnection(connectionString)) 
    { 
     SqlCommand command = new SqlCommand(commandText, connection); 
     command.Parameters.Add("@ID", SqlDbType.Int); 
     command.Parameters["@ID"].Value = customerID; 

     // Use AddWithValue to assign Demographics. 
     // SQL Server will implicitly convert strings into XML. 
     command.Parameters.AddWithValue("@demographics", demoXml); 

     try 
     { 
      connection.Open(); 
      Int32 rowsAffected = command.ExecuteNonQuery(); 
      Console.WriteLine("RowsAffected: {0}", rowsAffected); 
     } 
     catch (Exception ex) 
     { 
      Console.WriteLine(ex.Message); 
     } 
    } 
} 

对于MySQL我不知道，你可以使用参数化查询库。您应该使用mysql_real_escape_string()或者任意使用此功能。：

public static string MySqlEscape(this string usString) 
{ 
    if (usString == null) 
    { 
     return null; 
    } 
    // SQL Encoding for MySQL Recommended here: 
    // http://au.php.net/manual/en/function.mysql-real-escape-string.php 
    // it escapes \r, \n, \x00, \x1a, baskslash, single quotes, and double quotes 
    return Regex.Replace(usString, @"[\r\n\x00\x1a\\'""]", @"\$0"); 
} 

Answer 2

使用适当构造的DAL与SQL参数对象交给存储过程，您不必担心这一点。实现业务对象和dal以足够抽象用户输入，以使其不作为SQL执行，而是作为值进行识别。示例很有趣：

public class SomeDal 
{ 
    public void CreateUser(User userToBeCreated) 
    { 
     using(connection bla bla) 
     { 
      // create and execute a command object filling its parameters with data from the User object 
     } 
    } 
} 

public class User 
{ 
    public string Name { get; set; } 
    ... 
} 

public class UserBL 
{ 
    public CreateUser(User userToBeCreated) 
    { 
     SomeDal myDal = new SomeDal(); 
     myDal.CreateUser(userToBeCreated); 
    } 
} 

public class SomeUI 
{ 
    public void HandleCreateClick(object sender, e ButtonClickEventArgs) 
    { 
     User userToBeCreated = new User() { Name = txtName.Text }; 
     UserBL userBl = new UserBL(); 
     userBl.CreateUser(userToBeCreated); 
    } 
}