☆☆☆☆☆怎麼防止[SQL注入]☆☆☆☆☆

參數化查詢,ADO.NET 底層將會處理 SQL 注入的問題   (需要SQL SERVER2005)

使用下面的參數化查詢

System.Data.SqlClient.SqlConnection cnn = new System.Data.SqlClient.SqlConnection("連接字串");
System.Data.SqlClient.SqlCommand cm = new System.Data.SqlClient.SqlCommand();
cm.Connection = cnn;
cm.CommandText = "insert into table1 (field1,field2) values(@field1,@field2)";

cm.Parameters.Add("@field1",SqlDbType.Float);
cm.Parameters["@field1"].Value = 1;
cm.Parameters.Add("@field2",SqlDbType.DateTime );
cm.Parameters["@field2"].Value = System.DBNull.Value;
cnn.Open();
cm.ExecuteNonQuery();
cnn.Close();

另一種

我們公司一直用這個函數 去掉特殊字元
public static string CleanString(string inputString)
{
StringBuilder retVal = new StringBuilder();

if ((inputString != null) && (inputString != String.Empty))
{
inputString = inputString.Trim();

for (int i = 0; i < inputString.Length; i++)
{
switch (inputString[i])
{
case '"':
retVal.Append("&quot;");
break;
case '<':
retVal.Append("&lt;");
break;
case '>':
retVal.Append("&gt;");
break;
default:
retVal.Append(inputString[i]);
break;
}
}

retVal.Replace("'", " ");
}

return retVal.ToString();
}

PS:根據petshop改的 呵呵