ASP.NET에서 SQL 주입 방지

Question

'ASP.NET에서 SQL 주입 방지'페이지 here이 더 이상 지원되지 않습니다. 매개 변수를 대체하기 위해 ASP.NET 2.0 이후에 나온 것은 무엇입니까? 이전 코멘트에서 언급 한 바와 같이

Answer 1

내가 형태에서 SQL 쿼리와 다시 형태로 DB에서 오는 모든 필드에 AntiXSS를 사용하는 것이 좋습니다 것 Microsoft Anti Cross Site Scripting Library/Security Runtime Engine.

사용합니다. 형성

:

<%@ Import Namespace="Microsoft.Security.Application" %> 
<%# Encoder.HtmlAttributeEncode(Eval("FROMDB").ToString()) %> 

DB 사람 :

using Microsoft.Security.Application; 
string DBVAR = Encoder.HtmlAttributeEncode(txtField.Text); 

How to set up as the default encoder for your web application

문서는 최고 아니지만, 화이트리스트 방식으로 작동합니다.

Answer 2

더 일반적인 기술이지만 OWASP와 같은 보안 관련 웹 사이트로 되돌릴 수 있습니다. OWASP Sql Injection Prevention Cheat Sheet에는이 보안 문제로부터 보호하는 방법에 대한 C#의 구체적인 예가 나와 있습니다.