WPF/SQL：用参数替换值？

Question

我是 C# 新手，我编写了以下代码。阅读完文档后，我意识到我的代码可能容易受到 SQL 注入的影响，因为我没有为我的值使用参数（据我了解，您可以通过 search.Text 注入不需要的查询）。我什至应该担心它，因为我基本上将我的值锁定在 "" 引号内？

我在这里找到了一些方向，但我无法让它工作： How to use string variable in sql statement

public void InvokeDataGridAddress()
{
    switch (ComboBoxSelection.Text)
    {
        case "NASLOV":
            comboBoxValue = "SELECT * FROM [cbu_naslovi] WHERE [ADDRESS] LIKE '%" + search.Text + "%' COLLATE Latin1_general_CI_AI";
            break;
        case "LASTNIK":
            comboBoxValue = "SELECT [cbu_naslovi].* FROM [cbu_deli], [cbu_naslovi] WHERE [cbu_deli].LASTNIK LIKE '%" + search.Text + "%' COLLATE Latin1_general_CI_AI AND [cbu_deli].IDX = [cbu_naslovi].ID";
            break;
        case "OBJEKT":
            comboBoxValue = "SELECT * FROM [cbu_naslovi] WHERE [SO] LIKE '%" + search.Text + "%'";
            break;
        case "PARCELA":
            comboBoxValue = "SELECT * FROM [cbu_naslovi] WHERE [P1] LIKE '%" + search.Text + "%' OR [P2] LIKE '%" + search.Text + "%' OR [P3] LIKE '%" + search.Text + "%' OR [P4] LIKE '%" + search.Text + "%' OR [P5] LIKE '%" + search.Text + "%' OR [P6] LIKE '%" + search.Text + "%' OR [P7] LIKE '%" + search.Text + "%' OR [P8] LIKE '%" + search.Text + "%' OR [P9] LIKE '%" + search.Text + "%' OR [P10] LIKE '%" + search.Text + "%' OR [P11] LIKE '%" + search.Text + "%' OR [P12] LIKE '%" + search.Text + "%' OR [P13] LIKE '%" + search.Text + "%' OR [P14] LIKE '%" + search.Text + "%' OR [P15] LIKE '%" + search.Text + "%' OR [P16] LIKE '%" + search.Text + "%' OR [P17] LIKE '%" + search.Text + "%'";
            break;
    }
    comboBoxValue = comboBoxValue + " ORDER BY [ULICA] ASC, [OBMOCJE] ASC, LEN ([HS]) ASC, [HS] ASC, [HID] ASC";
    SqlCommand cmd = new SqlCommand
    {
        CommandText = comboBoxValue,
        Connection = con
    };
    Mouse.OverrideCursor = System.Windows.Input.Cursors.Wait;
    SqlDataAdapter da = new SqlDataAdapter(cmd);
    dtAddress.Clear();
    da.Fill(dtAddress);
    dg_address.ItemsSource = dtAddress.DefaultView;
    Mouse.OverrideCursor = System.Windows.Input.Cursors.Arrow;
}

编辑：Olivier Belanger 和 MindSwipe 提供了可行的解决方案。我还留下了有关如何使 LIKE 使用 % 参数的参考：Use of SqlParameter in SQL LIKE clause not working

public void InvokeDataGridAddress()
{
    switch (ComboBoxSelection.Text)
    {
        case "NASLOV":
            comboBoxValue = "SELECT * FROM [cbu_naslovi] WHERE [ADDRESS] LIKE @SearchText COLLATE Latin1_general_CI_AI";
            break;
        case "LASTNIK":
            comboBoxValue = "SELECT [cbu_naslovi].* FROM [cbu_deli], [cbu_naslovi] WHERE [cbu_deli].LASTNIK LIKE @SearchText COLLATE Latin1_general_CI_AI AND [cbu_deli].IDX = [cbu_naslovi].ID";
            break;
        case "OBJEKT":
            comboBoxValue = "SELECT * FROM [cbu_naslovi] WHERE [SO] LIKE @SearchText";
            break;
        case "PARCELA":
            comboBoxValue = "SELECT * FROM [cbu_naslovi] WHERE [P1] LIKE @SearchText OR [P2] LIKE @SearchText OR [P3] LIKE @SearchText OR [P4] LIKE @SearchText OR [P5] LIKE @SearchText OR [P6] LIKE @SearchText OR [P7] LIKE @SearchText OR [P8] LIKE @SearchText OR [P9] LIKE @SearchText OR [P10] LIKE @SearchText OR [P11] LIKE @SearchText OR [P12] LIKE @SearchText OR [P13] LIKE @SearchText OR [P14] LIKE @SearchText OR [P15] LIKE @SearchText OR [P16] LIKE @SearchText OR [P17] LIKE @SearchText";
            break;
    }
    comboBoxValue = comboBoxValue + " ORDER BY [ULICA] ASC, [OBMOCJE] ASC, LEN ([HS]) ASC, [HS] ASC, [HID] ASC";
    SqlCommand cmd = new SqlCommand
    {
        CommandText = comboBoxValue,
        Connection = con
    };
    cmd.Parameters.AddWithValue("@SearchText", '%' + search.Text + '%');
    Mouse.OverrideCursor = System.Windows.Input.Cursors.Wait;
    SqlDataAdapter da = new SqlDataAdapter(cmd);
    dtAddress.Clear();
    da.Fill(dtAddress);
    dg_address.ItemsSource = dtAddress.DefaultView;
    Mouse.OverrideCursor = System.Windows.Input.Cursors.Arrow;
}

Answer 1

简短的回答，是的，你总是需要担心 SQL 注入，你不会相信一些黑客在这些方面有多么有创意。
尽管我在 C# 方面非常有经验，但我从未在 C# 中使用过直接 SQL，但我一直将 EF 与 LINQ 一起用于数据库
无论如何，这里是：

using (var con = new SqlClient.SqlConnection(conectionString))
using (var cmd = SqlClient.SqlCommand())
{
    con.Open();
    cmd.Connection = con;
    cmd.CommandType = CommandType.Text;
    cmd.CommandText = "SELECT * FROM [cbu_naslovi] WHERE [ADDRESS] LIKE '%@Title%' COLLATE Latin1_general_CI_AI";
    cmd.Parameters.Add("@Title", search.Text);
}

一些解释：
using： using 关键字非常简单。基本上你放在括号之间的任何东西（例如Class c = new Class();）都需要实现IDisposable，这个变量在花括号之后被释放
Syntatic Candy：通常需要跟进using()通过花括号 { }，除非它是单个语句或另一个 using 语句
Sql Stuff: con.Open 打开我们到数据库的连接，我们将其设置为我们的命令将与cmd.Connection = con 一起使用。
现在我们需要说明它是什么类型的命令。通过执行cmd.CommandType = CommandType.Text，我们告诉命令它是一个 SQL 查询。
现在我们需要实际定义我们的查询，但不是将字符串与+ 连接，而是使用@987654329 @ 作为占位符。
最后我们通过执行 cmd.Parameters.Add("@SomeName", value) 将 @SomeName 替换为实际值，其中 @SomeName 可以是任何值，但它必须与我们想要的占位符相同在 SQL 查询中替换
这是我们真正保护自己免受 SQL 注入攻击的地方，因为 cmd.Parameters.Add() 可以完成我们需要的一切，否则我们需要手动完成

希望这对您有所帮助，不会再让您感到困惑

注意：如果您对实体框架 (EF) 或 LINQ 感兴趣，这里是一个很好的来源：EF Database First tutorial

Answer 2

您很容易受到 SQL 注入的攻击。

首先，最好在选择中列举你想要的内容，如下所示：

SELECT Name, Address, City FROM [YourTable] 而不是SELECT * FROM [YourTable]

其次，您应该像这样在查询中插入参数：

SELECT Name, Address, City FROM [YourTable] WHERE Name = @Name

在你的命令下：

cmd.Parameters.AddWithValue("@Name", YourValue)

希望对你有帮助，

这里有一些链接： What are good ways to prevent SQL injection? https://www.codeproject.com/Tips/706692/Preventing-SQL-Injection-Attacks