這是將文本框綁定到gridview的正確方法嗎？

Question

我試圖用一個文本框作爲過濾器的GridView和最後寫這樣的代碼：

Protected Sub Button1_Click(ByVal sender As Object, ByVal e As System.EventArgs) Handles Button1.Click 

     Try 
      SqlDataSource1.ConnectionString = "connection string goes here" 
      SqlDataSource1.SelectCommand = "SELECT * FROM TABLE WHERE area LIKE '" + TextBox1.Text + "%'" 
      'GridView1.DataSource = SqlDataSource1.SelectCommand 
      SqlDataSource1.DataBind() 
      GridView1.DataBind() 
     Catch ex As Exception 
      MsgBox(ex.ToString) 
     End Try 
    End Sub 

它的工作原理。不過，我覺得這太簡單，不安全。你能否告訴我應該如何以更專業的方式做到這一點？

Answer 1

要使用參數化的sql語句，請添加select參數及其sql數據類型和默認值。

Protected Sub Button1_Click(ByVal sender As Object, ByVal e As System.EventArgs) Handles Button1.Click 

     Try 
      SqlDataSource1.ConnectionString = "connection string goes here" 
      SqlDataSource1.SelectCommand = "SELECT * FROM TABLE WHERE area LIKE @area" 
      'GridView1.DataSource = SqlDataSource1.SelectCommand 
      SqlDataSource1.SelectParameters.Add(New Parameter("area", DbType.String,TextBox1.Text)) 
      SqlDataSource1.DataBind() 
      GridView1.DataBind() 
     Catch ex As Exception 
      MsgBox(ex.ToString) 
     End Try 
    End Sub 

Answer 2

聯機SQL不安全，您很容易受到SQL注入攻擊，因爲可能會將對數據庫有害的數據輸入到該文本框中，並且沒有檢查該值。

讀Understanding SQL Injection and Creating SQL Injection Proof ASP.NET Applications

使用參數化的SQL或SQL Server內部存儲過程。