sql - 输入卫生最佳实践

Question

我们的团队最近一直在为我们的数据库开发逻辑和数据层。我们未被批准将 Entity 或 Linq to SQL 用于数据层。它主要是手工建造的。很多 SQL 是自动生成的。一个明显的下降是需要在检索和插入之前对输入进行清理。

这样做的最佳方法是什么？搜索插入、删除等术语似乎是一种糟糕的方法。有更好的选择吗？

Answer 1

一般来说，卫生的最好方法是像人类肾脏一样工作——默认拒绝一切，挑选你知道是好的/安全的。

我假设您已经为所有带有外部输入的 SQL 查询使用了参数。

主要对尽可能接近 UI 的输入进行清理通常也是一种很好的做法。