sql - 简单的用户输入清理

Question

我正在使用Server.HttpEncode()，并且HttpDecode()为了清理用户表单输入，以及在检测到“潜在危险”输入时让服务器抛出异常。

（然后将数据保存到 MSSQL 数据库）

这是否足以阻止 SQL / Javascript 注入和类似的？

Answer 1

不，它根本不会阻止它。正如微软在此处所解释的，它更多地用于防止 XSS 攻击。阅读这个Stackoverflow 问题，了解有关防止 SQL 注入的一些想法。

根据您所处的环境，我会使用诸如 Entity Framework 或 NHibernate 之类的技术来完全防止 SQL 注入，因此您甚至不必担心它。

Answer 2

可能，但几乎可以肯定不会。