Injecția SQL. Utilizați parametrii SQL pentru protecție. Parametrii SQL. Exemplu Razor ASP.NET. Marker@.

Utilizați parametrii SQL pentru protecție

Pentru a proteja un site web de injecția SQL, puteți utiliza parametrii SQL.

Parametrii SQL sunt valori care sunt adăugate la o interogare SQL la momentul executării, într-o manieră controlată.

Exemplu Razor ASP.NET
 

txtUserId = getRequestString("UserId");
txtSQL = "SELECT * FROM Users WHERE UserId = @0";
db.Execute(txtSQL,txtUserId);

Rețineți că parametrii sunt reprezentați în instrucțiunea SQL de către un marker@.

Motorul SQL verifică fiecare parametru pentru a se asigura că este corect pentru coloana sa și sunt tratate literal, și nu ca parte a SQL-ului care trebuie executat.

Alt exemplu:
 

txtNam = getRequestString("CustomerName");
txtAdd = getRequestString("Address");
txtCit = getRequestString("City");
txtSQL = "INSERT INTO Customers (CustomerName,Address,City) Values(@0,@1,@2)";
db.Execute(txtSQL,txtNam,txtAdd,txtCit);