原文地址：http://tw.myblog.yahoo.com/jeff-yeh/article?mid=603&prev=605&next=597

本来是繁体，让我转成简体了，如下

很多人应该都经历过一段T-SQL的学习成长路程,最多人最常用的就是直接把使用者输入的值,直接组到查询字符串里.

例如 :

string strCmd="select * from testdb where testid ='"+TextBox1.Text.Trim()+";"; 

很多范例及书籍都有这样的写法,可是这写法有很严重的SQL Injection的问题,这也不是个新问题,这是很久以前就有发现的,有些人还以为Hot Fix或Service Pack可以修正SQL Injection的问题,但这是程序写法的问题,跟Hot Fix或Service Pack没有关系.

记得过去有位同事,有多年的程序撰写经验,后来跟我一起Work了一段时间,他的写法也是如此,当时提出这个安全问题时,还不被重视,但小弟手就是贱,为了让上头重视这个问题,只好自己动手去"注射"了,我没做什么,就很单纯的关掉DB而已,后来上头才发现这个问题的严重性,才要求更改.

后来陆续对安全性的重视提高了,开始想着要怎么去解决这个问题,就延伸出第二种写法,开始去过滤关键词,置换等消极的方式,有时还会发现新的问题,所以就一直修不停.

例如 :

string strCmd="select * from testdb where testid ='"+TextBox1.Text.Trim().Replace("'","%")+";";

这只是示意性的换掉单引号,但还有很多关键词或符号.

后来决定要想办法把使用者的查询值放到Parameters的方式去处理,而做法也没想象中的难.

以like的问题来说:

SqlCommand cmd=new SqlComand(); //其它怎么用Connection等,因为不是重点,所以带过不写

cmd.Parameters.Add("@testid",TextBox1.Text.Trim());

cmd.CommandText="select * from testdb where testid like @testid+'%'";

这样就能做到 like TextBox1.Text.Trim()% 的效果,而且不用担心使用者输入的字有什么关键词在里面.

那么in要怎么做?

会用in的时候,一定是有很多查询的值要查,所以做法有很多种,但意思差不多.

例如我的查询条件有"Jeff","Jack","Jay","Jason",将这些条件个个分开放到一个String Arrary里.

SqlCommand cmd=new SqlComand(); //其它怎么用Connection等,因为不是重点,所以带过不写

cmd.CommandText="select * from testdb where testid in (";

string strName="Jeff,Jack,Jay,Jason";//要用in查询的数据

string[] strQry=strName.Split(",".ToCharArray());//把它切到String Array里去

int intCount=0;

foreach (string sq in strQry)

{

cmd.Parameters.Add("@TestID"+intCount, sq) //所以每次的变量都会不同

cmd.CommandText+="@TestID"+intCount+",";

intCount++;//变数加1

}

cmd.CommandText=cmd.CommandText.Remove(cmd.CommandText.Length-1,1)+")"; //把最后一个逗号换为右括号.

最后就会组出select * from testdb where testid in (@TestID0,@TestID1,@TestID2,@TestID3)

未来会不会有第四种改进写法,就不知道了,看各位有没有什么好看法,或是未来会不会我又有遇到什么问题可以动动脑.

#2008/9/13 补充

在网友提供的信息,发现用Parameters,在用Like时,使用者输入的%也是当通配符在使用.例如:

cmd.Parameters.Add("@testid","Jeff%");

cmd.CommandText="select * from testdb where testid like @testid";

查询结果会将所有的Jeff开头的数据取回,而底线 _ 的单一字的通配符也是有同样的效果,那这样用户真的想要找数据内有%或是_时的数据时,要怎么辨才能达成?目前是想到一个方法,但要用到escape这个方式.

例如 :

cmd.Parameters.Add("@testid","Jeff%".Relpace("!","!!").Relpace("%","!%").Relpace("_","!_")+"%");

cmd.CommandText="select * from testdb where testid like @testid escape '!'";

前三个Relpace的动作,是把使用者输入的! (因为escape 符号是用!),%及_都在前面加个!,让它被视为原意做为查询条件,最后加上的%,因为没前面先加!,所以最后一个%仍为通配符使用,所以举例数据库的数据如下:

Jeff1

Jeff%1

Jeff%2

Jeff%_1

Jeff2

查询结果会是 :

Jeff%1

Jeff%2

Jeff%_1

这是目前想到的做法~