asp.net - 防止 ASP.NET 中的 SQL 注入

Question

我注意到这里不再支持“防止 ASP.NET 中的 SQL 注入”页面。ASP.NET 2.0 之后出现了哪些替换参数？

Answer 1

如前一条评论所述，使用Microsoft Anti Cross Site Scripting Library/Security Runtime Engine。

我建议在从表单到 SQL 查询以及从数据库返回到表单的任何字段上使用 AntiXSS。

来形成：

<%@ Import Namespace="Microsoft.Security.Application" %>
<%# Encoder.HtmlAttributeEncode(Eval("FROMDB").ToString()) %>

数据库：

using Microsoft.Security.Application;
string DBVAR = Encoder.HtmlAttributeEncode(txtField.Text);

如何设置为您的 Web 应用程序的默认编码器

文档不是最好的，但它作为白名单方法效果很好。

Answer 2

您始终可以恢复到更多技术通用但特定于安全的网站，例如 OWASP，其OWASP Sql Injection Prevention Cheat Sheet描述了有关如何防止此安全问题的 C# 特定示例。