保護ASP.NET中的SQL注入

Question

我注意到'不保護ASP.NET中的SQL注入'頁面here不再受支持。在ASP.NET 2.0之後出現了什麼替代參數？

Answer 1

正如在以前的評論中提及使用Microsoft Anti Cross Site Scripting Library/Security Runtime Engine.

我會建議使用AntiXSS就快到了從形式到您的SQL查詢，並從數據庫返回到您的表單的任何字段。

形成：

<%@ Import Namespace="Microsoft.Security.Application" %> 
<%# Encoder.HtmlAttributeEncode(Eval("FROMDB").ToString()) %> 

要DB：

using Microsoft.Security.Application; 
string DBVAR = Encoder.HtmlAttributeEncode(txtField.Text); 

How to set up as the default encoder for your web application

文檔是不是最好的，但它的工作原理以及白名單的做法。

Answer 2

您可以隨時回覆到更多技術通用但特定於安全性的網站，例如OWASP OWASP Sql Injection Prevention Cheat Sheet描述瞭如何防範此安全問題的C＃特定示例。