C# 更新数据库数据安全指南：如何避免 SQL 注入攻击

C# 更新数据库数据安全指南：如何避免 SQL 注入攻击

在 C# 中更新数据库数据时，直接拼接字符串来构建 SQL 语句存在安全风险，容易导致 SQL 注入攻击。例如，以下代码示例存在漏洞：

string sql = 'UPDATE MyTable SET Password = '' + xinmima + '' WHERE Name = '' + zhanghao + ''';

正确的做法是使用参数化查询，将参数值传递给查询语句，避免直接拼接字符串。

以下是使用参数化查询更新数据库数据的示例代码：

string sql = 'UPDATE MyTable SET Password = @Password WHERE Name = @Name';
using (SqlConnection connection = new SqlConnection(connectionString))
{
    SqlCommand command = new SqlCommand(sql, connection);
    command.Parameters.AddWithValue('@Password', xinmima);
    command.Parameters.AddWithValue('@Name', zhanghao);
    
    connection.Open();
    int rowsAffected = command.ExecuteNonQuery();
}

使用参数化查询的好处：

• 提高安全性：避免 SQL 注入攻击。
• 提高可读性：代码更简洁易懂。
• 提高效率：数据库引擎可以更高效地执行参数化查询。

总结：

在更新数据库数据时，务必使用参数化查询来避免 SQL 注入攻击，确保代码的安全性和可靠性。