Asp.Net作SQL增、删、改、查时怎么样写代码才不会被注入

Question

如题！小弟在这里谢谢大家~最好贴个代码学习一下！

Answer 1

参数化SQL语句
百度搜索一下相关教程很多了
http://www.baidu.com/baidu?word=%B2%CE%CA%FD%BB%AFSQL%D3%EF%BE%E4&tn=myie2dg

Answer 2

最好使用Sql参数传递进行数据库操作, 贴个代码你参考一下:
                  SqlCommand conn_cmd = new SqlCommand();
                SqlDataReader dr;
                conn_cmd.Connection = conn;
                conn_cmd.CommandType = CommandType.StoredProcedure;
                conn_cmd.CommandText = "classroom_request";
                conn_cmd.Parameters.Add(new SqlParameter("cr_id", str)); //这句是传参
                conn.Open();
                dr = conn_cmd.ExecuteReader();
                return dr;
传参是作为值传递的, 而不是作为程序语言理解来传递的, 所以会避免SQL注入的问题, 你参考一下, 希望对你有帮助

Answer 3

把数据库设为可存UTF-8的字符集,然后处理一下单引号即可.http://blog.csdn.net/insus/archive/2008/03/26/2221202.aspx