.NET中的SQL注入预防

Question

我通常在.NET中这样写我的SQL

sql.Append("SELECT id, code, email FROM mytable WHERE variable = @variable ");

然后执行以下操作：

using (SqlConnection conn = new SqlConnection(ConfigurationManager.ConnectionStrings[ConfigurationManager.AppSettings["defaultConnection"]].ConnectionString))
{
    using (SqlCommand myCommand = new SqlCommand(sql.ToString(), conn))
    {
        myCommand.Parameters.AddWithValue("@variable", myVariableName");
        ...

但是，当我获得的数据直接来自数据库时，我也应该这样做addParameter吗？

likesql.Append(string.Format("SELECT group_id, like_text FROM likeTerms ORDER BY group_id ASC "));

DataTable dtLike = SqlHelper.GetDataTable(likesql.ToString());

foreach (DataRow dr in dtLike)
{
    buildsql.Append(".... varId = " + dr["group_id"].ToString() + "...");

    ...

这可以接受吗？什么是最佳做法？

Answer 1

您应该始终使用参数：

• 数据库中的值从哪里来？
• 在您的示例中，您可以相信’group_id’未被修改为您所不期望的吗？

信任任何人

具有有限数据库访问权限的人可以直接注入其他地方使用的字段吗？

表现

此外，它还有助于提高性能。缓存的执行计划将忽略该参数的值，这意味着您可以避免每次参数更改时都重新编译查询。