ASP教程:防SQL注入

防SQL 注入是一个系统工程,在项目开发中就要系统的考虑SQL 注入的问题。一般做到以下4点，能比较好的控制SQL 注入：

1. 严格验证用户的一切输入，包括URL参数。
2. 将用户登录名称、密码等数据加密保存
3. 不要用拼接字符串的方式来生成SQL语句，而是用SQL Parameters 传参数或者用存储过程来查询
4. 严格验证上传文件的后缀，exe、aspx、asp等可执行程序禁止上传。

这里介绍一个简单通用的方法，用来验证字符串中是否有敏感字符，参数可以是一个字符串，也可以是一个字符串集合，敏感字符可以在Lawlesses数组中定义：

1.         public static string[] Lawlesses = { "=", "'" };
2.         /// <summary>
3.         /// 敏感字符检测
4.         /// </summary>
5.         /// <param name="args"></param>
6.         /// <returns></returns>
7.         public static bool CheckParams(params object[] args)
8.         {
9.             if (Lawlesses == null || Lawlesses.Length <= 0) return true;
10.             //构造正则表达式,例:Lawlesses是=号和'号,则正则表达式为 .*[=}'].*
11.             //另外,由于我是想做通用而且容易修改的函数,所以多了一步由字符数组到正则表达式,实际使用中,直接写正则表达式亦可;
12.             string str_Regex = ".*[";
13.             for (int i = 0; i < Lawlesses.Length - 1; i++)
14.             {
15.                 str_Regex += Lawlesses[i] + "|";
16.             }
17.             str_Regex += Lawlesses[Lawlesses.Length - 1] + "].*";
18.             //
19.             foreach (object arg in args)
20.             {
21.                 if (arg is string)//如果是字符串,直接检查
22.                 {
23.                     if (Regex.Matches(arg.ToString(), str_Regex).Count > 0)
24.                         return false;
25.                 }
26.                 else if (arg is ICollection)//如果是一个集合,则检查集合内元素是否字符串,是字符串,就进行检查
27.                 {
28.                     foreach (object obj in (ICollection)arg)
29.                     {
30.                         if (obj is string)
31.                         {
32.                             if (Regex.Matches(obj.ToString(), str_Regex).Count > 0)
33.                                 return false;
34.                         }
35.                     }
36.                 }
37.             }
38.             return true;
39.         }