首頁猿問如何創(chuàng)建參數(shù)化SQL查詢？我為什么要？

如何創(chuàng)建參數(shù)化SQL查詢？我為什么要？

MySQL SQL Server

胡說叔叔 2019-05-28 17:25:12

如何創(chuàng)建參數(shù)化SQL查詢？我為什么要？我聽說“每個(gè)人”都在使用參數(shù)化SQL查詢來防止SQL注入攻擊，而不必為每一條用戶輸入進(jìn)行操作。你怎么做到這一點(diǎn)？使用存儲(chǔ)過程時(shí)是否自動(dòng)獲得此信息？所以我理解這是非參數(shù)化的：cmdText = String.Format("SELECT foo FROM bar WHERE baz = '{0}'", fuz)這會(huì)參數(shù)化嗎？cmdText = String.Format("EXEC foo_from_baz '{0}'", fuz)或者我是否需要做更廣泛的事情以保護(hù)自己免受SQL注入？With command .Parameters.Count = 1 .Parameters.Item(0).ParameterName = "@baz" .Parameters.Item(0).Value = fuzEnd With除安全考慮因素外，使用參數(shù)化查詢還有其他優(yōu)點(diǎn)嗎？更新：這篇偉大的文章與Grotok引用的一個(gè)問題相關(guān)聯(lián)。http://www.sommarskog.se/dynamic_sql.html

查看完整描述

4 回答

萬千封印

TA貢獻(xiàn)1891條經(jīng)驗(yàn) 獲得超3個(gè)贊

絕對(duì)是最后一個(gè)，即

或者我是否需要做更廣泛的......？（是cmd.Parameters.Add()）

參數(shù)化查詢有兩個(gè)主要優(yōu)點(diǎn)：

安全性：這是避免SQL注入漏洞的好方法
性能：如果您經(jīng)常使用不同的參數(shù)調(diào)用相同的查詢，則參數(shù)化查詢可能允許數(shù)據(jù)庫緩存您的查詢，這是性能增益的重要來源。
額外：您不必?fù)?dān)心數(shù)據(jù)庫代碼中的日期和時(shí)間格式問題。同樣，如果您的代碼將在具有非英語語言環(huán)境的計(jì)算機(jī)上運(yùn)行，則不會(huì)出現(xiàn)小數(shù)點(diǎn)/小數(shù)點(diǎn)逗號(hào)的問題。

反對(duì) 回復(fù) 2019-05-28