******请问，这个功能如何实现？？？*******

Question

大哥们：
    我们在用户登录时，总是要在文本框中写些东西，如果我在用户名的文本中，写入一些非法字符，比如'or''=',或别的什么，有可能会利用sql漏洞进入后台等，那么在c#中，如何过滤掉这些非法字符呢？？就是说，不能让request["username"]中的内容，有以上几个特殊的字符，如果有提示出错，大哥们，如何做啊，谢谢！

Answer 1

最简单的方法就是替换' str.Replace("'","''")但是在ASP.NET里有一种更好更安全的方法，使用SqlParameter
例如
string name = Request["name"];
string sql = "select * from tbl where name=@name";
SqlCommand cmd = new SqlCommand(sql,conn);
cmd.Paramete.Add("@name",name);
使用这种参数方式就不用担心非法字符了。

Answer 2

使用存储过程或者强数据类型参数的方法应该可以完全杜绝SQL注入攻击

Answer 3

jzyuchen(予晨) 说的很对，哈哈，我没有什么可以补充的了