Generar consultas SQL de forma segura en C#

Question

¿Cuál es la forma más segura de generar consultas SQL en C#, incluida la limpieza de la entrada del usuario para que esté a salvo de la inyección? Estoy buscando utilizar una solución simple que no necesite bibliotecas externas.

Answer 1

Parámetros utilizar SQL:

http://msdn.microsoft.com/en-us/library/system.data.sqlclient.sqlparameter(v=vs.80).aspx

He aquí un ejemplo en C#

SqlCommand tCommand = new SqlCommand(); 
tCommand.Connection = new SqlConnection("YourConnectionString"); 
tCommand.CommandText = "UPDATE players SET name = @name, score = @score, active = @active WHERE jerseyNum = @jerseyNum"; 

tCommand.Parameters.Add(new SqlParameter("@name", System.Data.SqlDbType.VarChar).Value = "Smith, Steve"); 
tCommand.Parameters.Add(new SqlParameter("@score", System.Data.SqlDbType.Int).Value = "42"); 
tCommand.Parameters.Add(new SqlParameter("@active", System.Data.SqlDbType.Bit).Value = true); 
tCommand.Parameters.Add(new SqlParameter("@jerseyNum", System.Data.SqlDbType.Int).Value = "99"); 

tCommand.ExecuteNonQuery(); 

Answer 2

Usando DBML y LINQ para manejarlo por usted. Muchas personas han trabajado para garantizar que esos problemas se mitiguen.

Y si no es así, al menos parametrice sus consultas.

Answer 3

La primera regla de oro es para asegurarse de que utiliza consultas/comandos parametrizados. Básicamente, no compile dinámicamente una cadena sql que incluya algo que el usuario haya ingresado en la página.

Si utiliza en ORM (EF, L2S, Nhib), esto generalmente se maneja en la mayoría de los casos porque la mayoría de ellos ejecuta consultas parametrizadas.

Answer 4

Parametrice sus consultas.

En caso si usted construye algunos TSQL que construye alguna otra TSQL dinámico - then use some described technique

¿Qué significa "parametrización significa

Sede, no usar algo como esto:

sqlCommand.CommandText = "select * from mytable where id = "+someVariable; 

uso esto? :

sqlCommand.CommandText = "select * from mytable where id = @id"; 
sqlCommand.Parameters.AddWithValue("@id", someVariable); 

Answer 5

Un nombre propio para DBML es linq2sql o una versión avanzada se llama marco de entidad. Estas tecnologías son provistas por Microsoft y bien integradas con Visual Studio. No requiere bibliotecas adicionales.

productos

Bastante estables ..

Answer 6

Hacer uso de parametrizadas consultas.

Ejemplo simple.

var sql = "SELECT * FROM MyTable WHERE MyColumn = @Param1"; 
using (var connection = new SqlConnection("...")) 
using (var command = new SqlCommand(sql, connection)) 
{ 
    command.Parameters.AddWithValue("@Param1", param1Value); 
    return command.ExecuteReader(); 
} 

Ejemplo más detallado.

protected void btnGoodAddShipper_Click(object sender, EventArgs e) 
{ 
    string connStr = c 
     "Server=(local);Database=Northwind;Integrated Security=SSPI"; 

    // this is good because all input becomes a 
    // parameter and not part of the SQL statement 
    string cmdStr = 
     "insert into Shippers (CompanyName, Phone) values (" + 
     "@CompanyName, @Phone)"; 

    using (SqlConnection conn = new SqlConnection(connStr)) 
     using (SqlCommand cmd = new SqlCommand(cmdStr, conn)) 
     { 
      // add parameters 
      cmd.Parameters.AddWithValue 
       ("@CompanyName", txtCompanyName.Text); 
      cmd.Parameters.AddWithValue("@Phone", txtPhone.Text); 

      conn.Open(); 
      cmd.ExecuteNonQuery(); 
     } 
} 

Answer 7

En esencia no hacen esto

SqlCommand command = new SqlCommand(MyConnection); 
command.CommandText = "Select * From MyTable Where MyColumn = '" + TextBox1.Text + "'" 
... 

hacer

SqlCommand command = new SqlCommand(MyConnection); 
command.CommandText = "Select * From MyTable Where MyColumn = @MyValue"; 
command.Parameters.AddWithValue("MyValue",TextBox1.Text); 
... 

Básicamente no construir su comando SQL directamente desde la entrada del usuario.

Si usa un ORM, como EntityFrameworks/POCO, todas las consultas se realizan en el último formulario.