C#过滤sql特殊字符串的方法

下面是关于“C#过滤SQL特殊字符串的方法”的攻略。

概述

在进行 SQL 查询时，需要注意输入的字符串参数中有特殊字符，可能会导致 SQL 注入攻击。因此在 C# 中，需要对字符串进行过滤，防止出现 SQL 注入攻击。

C#如何过滤特殊字符串

C# 中的字符串过滤可以通过以下两种方式进行：

1. 使用参数化查询

将参数添加到 SQL 查询语句中可以避免出现 SQL 注入攻击。例如下面的代码：

string sql = "SELECT * FROM [user] WHERE name = @name AND password = @password";
SqlCommand cmd = new SqlCommand(sql, conn);
cmd.Parameters.AddWithValue("@name", name);
cmd.Parameters.AddWithValue("@password", password);

在上述代码中，使用了 SqlCommand 对象的 Parameters.AddWithValue() 方法，将输入参数添加到 SQL 查询语句中，从而避免了 SQL 注入攻击。

2. 字符串过滤

使用特殊字符过滤或者转义函数来过滤输入字符串，从而防止 SQL 注入攻击。例如下面的代码：

public static string FilterSQL(string input)
{
    if (!string.IsNullOrEmpty(input))
    {
        input = input.Replace("'", "''");
        input = input.Replace(";", "");
        input = input.Replace("--", "");
        input = input.Replace("/*", "");
        input = input.Replace("*/", "");
    }
    return input;
}

在上述代码中，使用了 Replace() 方法，将输入字符串中的特殊字符进行替换，从而避免了 SQL 注入攻击。

示例说明

以下是两个示例说明：

示例一：使用参数化查询

string sql = "SELECT * FROM [user] WHERE name = @name AND password = @password";
SqlCommand cmd = new SqlCommand(sql, conn);
cmd.Parameters.AddWithValue("@name", name);
cmd.Parameters.AddWithValue("@password", password);

在上述示例中，使用了参数化查询方法，将 name 和 password 作为输入参数添加到 SQL 查询语句中，从而避免了 SQL 注入攻击。

示例二：使用字符串过滤

string name = "Tom'; DROP TABLE [user];--";
name = FilterSQL(name);
string sql = "SELECT * FROM [user] WHERE name = '" + name + "'";
SqlCommand cmd = new SqlCommand(sql, conn);

在上述示例中，使用了字符串过滤方法 FilterSQL()，将输入字符串 Tom'; DROP TABLE [user];-- 进行了特殊字符的替换，避免了 SQL 注入攻击。