SQL 테이블에 데이터를 안전하게 삽입하고 SQL 삽입 오류를 방지하십시오.

Question

MyI는 데이터에서 정보를 수집해야하는 양식을 작성했습니다. 이 데이터는 "등등을 포함하여 임의의 문자가 포함될 수 있습니다. 내 질문에 어떻게 SQL 삽입 공격을하지 않고 데이터를 안전하게 삽입 할 수 있습니다."/ "와 같은 문자가있을 때마다이 양식에서 오류가 발생하지 않도록 이스케이프 문자를 삽입 할 수있는 위치 등등이 삽입됩니다. SQL 인젝션 보호를 위해

public string InsertRecordSet() 
    {   

     source = new FileInfo(@"c:\scripts\db_connection.txt"); 
     stream = source.OpenText(); 
     String text = stream.ReadLine(); 
     stream.Close(); 
     String uid = text.Substring(0, text.IndexOf(":")); 
     String pw = text.Substring(text.IndexOf(":") + 1, (text.Length - uid.Length - 1)); 
     String connectionString = "dsn=" + "db" + "; uid=" + uid + "; pwd=" + pw + ";"; 
     String statement = "INSERT INTO table (SubmitDate, FirstName, LastName, Email, Phone, Major, Description, HearAbout) VALUES (@SubmitDate, @FirstName, @LastName, @Email, @Phone, @Major, @Description, @HearAbout)";      

     conn = new OdbcConnection(connectionString); 

     command = new OdbcCommand(statement, conn); 

     command.Parameters.AddWithValue("@SubmitDate", DateTime.Now); 
     command.Parameters.AddWithValue("@FirstName", txtFname.Text); 
     command.Parameters.AddWithValue("@LastName", txtLname.Text); 
     command.Parameters.AddWithValue("@Email", txtEmail.Text); 
     command.Parameters.AddWithValue("@Phone", txtPhone.Text); 
     command.Parameters.AddWithValue("@Major", txtMajor.Text); 
     command.Parameters.AddWithValue("@Desciption", txtDescription.Text); 
     command.Parameters.AddWithValue("@HearAbout", txtMaxwell.Text); 

     conn.Open(); 
     try 
     {    
      command.ExecuteNonQuery(); 
      return "true"; 
     } 
     catch (OdbcException oe) 
     { 
      _dbError = true; 
      Session.Contents.Add("USIFormException", oe); 
      return (oe.ToString()); 
     } 
     finally 
     { 
      conn.Close(); 
     } 
    } 

Answer 1

, 인라인 SQL을 사용하지만, 대신 매개 변수화 된 SQL을 사용하지 마십시오

여기에 지금까지 내 코드입니다. 그것은 단지 값 (또는 매개 변수) 문자열의 일부가 될 수 있기 때문에

매개 변수화 된 SQL 대신 아무것도, SQL 주입을 방지 할 수 있습니다. 예를 들어 Command 개체는 합법적 인 매개 변수 값이 아니므로 매개 변수화 된 SQL 문자열에 DROP TABLE xyz을 가질 수 없습니다. 그래서 그 대신이 코드의

:

String statement = String statement = "INSERT INTO MyTable(SubmitDate, FirstName, LastName, Email, Phone, Major, Description, HearAbout) VALUES (@SubmitDate, @FirstName)"; 

command.Parameters.Add("@SubmitDate", DateTime.Now.ToShortDateString()); 
command.Parameters.Add("@FirstName", txtFname.Text); 

참고 :

String statement = "INSERT INTO MyTable(SubmitDate, FirstName, LastName, Email, Phone, Major, Description, HearAbout)";      
statement += "VALUES ("; 
statement += "'" + DateTime.Now.ToShortDateString() + "',"; 
statement += "'" + txtFname.Text + "', "; 

conn = new OdbcConnection(connectionString); 

command = new OdbcCommand(statement, conn); 

당신은 같은 코드가 있어야는 매개 변수화 된 쿼리는 완전히 SQL 주입으로부터 보호되지 않습니다 데이터베이스 로직은 동적 일 경우 SQL이므로 그렇게하지 마십시오.

Answer 2

매개 변수화 된 값을 사용해야합니다. 랜덤 주입 문제 이제 다른 문제를 해결

string query = "INSERT INTO MyTable(SubmitDate, FirstName, LastName, Email, Phone, Major, Description, HearAbout)";      
query += " VALUES (@SubmitDate, @FirstName, @LastName, @EMail, @Phone, @Major, @Description, @HearAbout)"; 
conn = new OdbcConnection(connectionString); 
command = new OdbcCommand(query, conn); 
command.Parameters.AddWithValue("@SubmitDate", DateTime.Now.ToShortDateString()); 
command.Parameters.AddWithValue("@FirstName", txtFname.Tex); 
... 

conn.Open(); 
command.ExecuteNonQuery(); 

http://msdn.microsoft.com/en-us/library/system.data.odbc.odbccommand.aspx

http://msdn.microsoft.com/en-us/library/system.data.odbc.odbcparametercollection.aspx