无法评估表达式答案

【问题标题】：Unable to evaluate expression无法评估表达式
【发布时间】：2012-04-24 17:26:26
【问题描述】：

我正在使用一个类来检查我的应用程序中的某些单词以防止 SQL 注入。

在类中，有一个 for 循环尝试将特定单词与黑名单中的单词进行匹配。如果匹配，我必须重定向到系统的错误页面。

但是，当找到匹配项并尝试重定向时，我不断收到错误消息“无法评估表达式”。

代码如下：

Private Sub CheckInput(ByVal parameter As String)
Try
    Dim errorPage As String = "error_page.aspx?Injection=" & parameter

    For i As Integer = 0 To blackList.Length - 1
        If (parameter.IndexOf(blackList(i), StringComparison.OrdinalIgnoreCase) >= 0) Then
            'Handle the discovery of suspicious Sql characters here 
            'generic error page on your site 
            HttpContext.Current.Response.Redirect(errorPage)
        End If
    Next

Catch ex As Exception
    Throw ex
End Try

一旦 Try 块捕获到错误，它就会继续给出错误并且不会重定向到错误页面。

有什么想法吗？

【问题讨论】：

你应该使用准备好的语句进行 sql injection.s
“无法评估表达式”来自调试器，而不是您的代码。您可能对某些超出范围的代码有所关注。

标签： asp.net .net vb.net visual-studio

【解决方案1】：

“无法计算表达式”来自 Visual Studio 调试器，当它看到 ThreadAbortException thrown by Response.Redirect。如果没有附加调试器，您的代码将按预期工作。

You can pass false to prevent the current request being ended（这就是ThreadAbortException 的用途）。然后，您负责优雅地“结束”请求。

FWIW，您还应该删除 try/catch，因为它正在服务 no useful purpose other than hiding any exceptions。而且，如前所述，SQL 参数是防止注入的方法 - 而不是白名单。

【讨论】：

【解决方案2】：

你可能有一个无限循环。 CheckInput 是否也为您的错误页面运行？

Dim errorPage As String = "error_page.aspx?Injection=" & parameter

当您遇到错误时，您将包含导致错误的相同字符串，从而导致整个事情重新开始

【讨论】：