WinCE資料庫開發時整出來的一個致命的BUG

在代碼中使用了大量像這樣的Sql 語句：

InitializeComponent();
string s = "select * from tableName where id = ‘"+this.textBox1.Text.Trim()+"'";

今天看書發現這樣寫很危險！惡意使用者可以憑藉這段代碼幹掉我的資料庫！

 

比如在textbox1裡邊輸入下邊的東西：

123';drop table Table1--

 

之後，Sql語句成了這樣：

select * from tableName where id= '123';drop table Table1—'

這在SqlServer是完全可以執行下去的。結果是查詢了一下，不管有沒有找到想要的東西，然後就把表Table1給刪掉了！

 

後來改了成這樣子：

SqlCommand cmd = new SqlCommand();

cmd.CommandText = "select * from tableName where id = @id";

cmd.Parameters.Add("id","12345");

cmd.ExecuteNonQuery();

 

這樣就可以避免上邊說的那種情況。

 

一下子，工作量又來了！

不過長了點知識，挺高興的！

 

後來查了下，這叫注入式攻擊！乖乖，一千年前都有的東西還讓我BUG了！