.NET 分享两个SQL注入防御加固解决方案_sql注入过滤单引号-CSDN博客

本文链接：https://blog.csdn.net/ahhacker86/article/details/135596769

SQL 注入绕过技术是一个老生常谈的话题，很多网站都接入了 WAF 等安全产品以此增强拦截和抵御 SQL 注入攻击的能力，另外从纵深防御的策略看还有在应用内部嵌入安全防护模块增强对请求输入参数进行过滤和拦截。下面提供两个防止注入漏洞产生的解决方案。

01.NET过滤单引号

ADO操作数据库时，如果输入的字符串不为空，方法继续执行 str.Replace("'", "''")，这是一个简单的SQL注入防范措施。它将字符串中的单引号 ' 替换为两个单引号 ''，这样可以防止恶意用户通过在输入中插入单引号来破坏SQL查询语句的结构，从而实现SQL注入攻击。

public static string ChkSQL(string str){   if (string.IsNullOrEmpty(str))      {         return "";      }      str = str.Replace("'", "''");      return str;}
DataTable dataTable = GetTable("select top 1 id from Info Where Id='" + Request["id"] + "'")

这个方法虽然简单，但是在防范基本的SQL注入方面提供了一定的保护。需要注意的是，此方法只针对字符串型的SQL过滤条件有效，对于更复杂的安全性要求，建议使用参数化查询或者ORM工具，而不仅仅依赖于字符串替换来防范SQL注入。

02.NET过滤多个值

下面这是一个名为 FilterIDs 的方法，用于处理字符串中包含的ID列表，并返回一个经过过滤的、用逗号分隔的字符串。

public static string FilterIDs(string strIDs){            string text = string.Empty;            strIDs = strIDs.Trim();            if (strIDs.Length == 0)            {                return "0";            }            string[] array;            if (strIDs.IndexOf("|") != -1)            {                array = strIDs.Split(new char[]                {                    '|'                });            }            else            {                array = strIDs.Split(new char[]                {                    ','                });            }            foreach (string text2 in array)            {                if (Convert.ToInt32((text2)) != 0)                {                    if (text == string.Empty)                    {                        text = text2;                    }                    else                    {                        text = text + "," + text2;                    }                }            }            if (string.IsNullOrEmpty(text))            {                text = "0";            }            return text;}var Id = FilterIDs(Request["id"]);DataTable dataTable = GetTable("select top 1 id from Info Where Id in(" + infoId + ")")