SQL参数如何防止SQL注入？

Question

SQL参数如何防止SQL注入？

到底是怎么回事在幕后使它如此SQL参数防止.NET参数化查询中的SQL感染攻击？它只是剔除了任何可疑人物，还是有更多的东西？

有没有人检查过当您传递恶意输入时，SQL Server实际得到了什么？

有关：您能在SQLFROM语句中使用SQLParameters吗？

Answer 1

当使用参数化查询时，攻击面将简化为对参数进行修改。请使用SqlParameters，但不要忘记溢出、下溢和未经验证的参数。例如，如果方法是“proc”buy_book (@price money)时，恶意攻击者会试图欺骗应用程序使用@price设为0.01，或者试图通过提交导致溢出的内容来让应用程序执行一些有趣的事情。SQL溢出通常并不有趣(也就是说，它们只会导致异常，您不太可能将其写入到相邻的内存中)。