【C#.NET】数据验证-防止SQL注入

SQL注入攻击是一种常见的网络攻击技术，攻击者通过在应用程序的输入字段中插入恶意的SQL代码，利用应用程序对用户输入处理不当，执行未授权的数据库操作。攻击目标通常是Web应用程序，旨在破坏、篡改或窃取数据库中的数据。

假设服务端要获取玩家数据，可能使用这样的SQL语句：

string sql = "Select * from player where id =" + id;

正常情况下该语句能够完成读取数据的工作。但如果一名恶意玩家注册了类似“downey;delete * from player；”的名字，这条语句将变成下面两条语句。

Select * from player where id = downey;delete * from player;

执行这样的SQL语句后，player表的数据将被删除，后果不堪设想。

数据验证是构建安全应用程序的基石。它不仅防止恶意用户通过提交恶意数据来破坏应用程序的正常运行，还有助于维护数据的完整性和一致性。

如果把含有逗号、分号等特殊字符的字符串判定为不安全字符串，在拼装SQL语句前，对用户输入的字符串进行安全性检测，便能够有效的防止SQL注入。使用正确的表达式编写判定安全字符串的方法IsSafeString，它把含有 “-;,/()[]}{%@*!'” 这些特殊字符的字符串判定为不安全字符串。在脚本中引用“System.Text.ReguarExpressions”，然后编写如下的IsSafeString方法。

using System.Text.ReguarExpressions;//判定安全字符串
private static bool IsSafeString(string str) {return !Regex.IsMatch(str, @"[-|;|,|\/|\(|\)|\[|\]|\}|\{|%|@|\*|!|\']");}