C#代碼編寫如何確保無SQL注入漏洞

為了確保C#代碼中避免SQL注入漏洞，可以采取以下幾種方法：

1. 參數化查詢（Parameterized Query）：使用參數化查詢是防止SQL注入的最佳方法。通過將用戶輸入作為參數傳遞給SQL命令，而不是直接將其拼接到SQL語句中，可以有效地避免SQL注入攻擊。

using (SqlConnection connection = new SqlConnection(connectionString))
{
    string sqlCommandText = "SELECT * FROM Users WHERE Username = @Username AND Password = @Password";
    
    using (SqlCommand command = new SqlCommand(sqlCommandText, connection))
    {
        command.Parameters.AddWithValue("@Username", userName);
        command.Parameters.AddWithValue("@Password", password);
        
        connection.Open();
        using (SqlDataReader reader = command.ExecuteReader())
        {
            // Process the results
        }
    }
}

2. 存儲過程（Stored Procedures）：使用存儲過程也可以有效地防止SQL注入攻擊。存儲過程在數據庫服務器上預先編譯，并且只能通過調用來執行。這樣可以確保用戶輸入不會直接拼接到SQL語句中。

using (SqlConnection connection = new SqlConnection(connectionString))
{
    using (SqlCommand command = new SqlCommand("sp_GetUser", connection))
    {
        command.CommandType = CommandType.StoredProcedure;
        command.Parameters.AddWithValue("@Username", userName);
        command.Parameters.AddWithValue("@Password", password);
        
        connection.Open();
        using (SqlDataReader reader = command.ExecuteReader())
        {
            // Process the results
        }
    }
}

3. 驗證和清理用戶輸入：在處理用戶輸入之前，始終驗證和清理數據?？梢允褂谜齽t表達式、內置函數或自定義函數來實現這一點。同時限制輸入長度，避免惡意輸入過長的數據。

4. 使用ORM（對象關系映射）工具：ORM工具如Entity Framework可以幫助開發人員創建安全的SQL查詢。它們通常使用參數化查詢和其他安全措施來防止SQL注入攻擊。

5. 最小權限原則：為數據庫連接分配盡可能低的權限。這樣即使攻擊者利用SQL注入漏洞，也無法執行危險操作。例如，只允許執行選擇操作，而不允許插入、更新或刪除操作。

6. 定期審計和更新：定期審核代碼以確保遵循最佳實踐，并更新數據庫和相關組件以修復已知的安全漏洞。