參數化查詢是避免sql注入的唯一方法嗎？

Question

有沒有一種方法（特別是使用ASP.net工具）來避免參數化查詢以外的sql注入？

Answer 1

是的，當然。除了參數化查詢，你也應該考慮這些：

1. 使用存儲過程
2. 使用有限的訪問帳戶連接到數據庫（而不是管理水平）
3. 加密的ConnectionString和其他敏感數據
4. 設置debug = false（在customError中）以最大限度地減少錯誤信息

我希望它對您有所幫助。

Answer 2

最簡單的方法之一就是我所說的消毒。在構建SQL語句時只需要Replace(vsInputString, "'", "''")：

Dim vsSQLStatement = "SELECT * FROM table01 WHERE myField = '" & Replace(vsFormTextInput, "'", "''") & "';" 

也將幫助停止SQL注入。