Ado.net 三[SQL注入,DataAdapter,sqlParameter…
2018-06-23 23:24:57来源:未知 阅读 ()
1.SQL注入:SQL注入攻击是web应用程序的一种安全漏洞,可以将不安全的数据提交给运用程序,使应用程序在服务器上执行不安全的sql命令。使用该攻击可以轻松的登录运用程序。
例如:该管理员账号密码为xiexun,该sql的正确语句应该为:
select * from Users where userName='xiexun'
如果在没有做任何处理的情况下,在登录名文本框中输入(xuxian' delete users--),单击"登录"按钮之后,相当于传了两句sql语句,一句执行查询之后,另外一句执行delete users之后整个表就没数据了,这样网站相当的不安全。
select * from Users where userName='xiexun' delete users--sql语句的注释,相当于把后面注释了
解决办法:
①.通过@传参的方式[存储过程也是通过@传参],sqlParameter方法
eg:
public string Getswhere() { StringBuilder sb = new StringBuilder(); sb.Append("select ID,username,PWD,loginname,qq,classname from Users where 1=1"); //获取到它的用户名 string username = TxtUserName.Text.Trim(); if (!string.IsNullOrEmpty(username)) { //sb.Append(string.Format("and username='{0}'", username)); //防SQL注入,通过@传参的方式 sb.Append(string.Format("and username=@username")); //怎么把值传进去,通过sqlParameter数组 //SqlParameter[] para = new SqlParameter[] //{ // //创建一个SqlParameter对象(第一个传名称,第二个传值) // new SqlParameter("@username",username) //}; // para[0]表示数组对象的第一个里面添加 //para[0] = new SqlParameter("@username",username);
para.Add(new SqlParameter("@username", username));
} if(ddlsclass.SelectedIndex>0) { //sb.Append(string.Format("and ClassName='{0}'", ddlsclass.SelectedValue)); sb.Append(string.Format("and ClassName=@ClassName")); //para[1] = new SqlParameter("@ClassName",ddlsclass.SelectedValue);
para.Add(new SqlParameter("@ClassName", ddlsclass.SelectedValue)); } return sb.ToString(); }
List<SqlParameter> para = new List<SqlParameter>();
//我们把它放在list<>里,就有add方法
private void openDB()
{
con = new SqlConnection(conStr);
con.Open();//和数据库建立起了连接
//我们单独把这两句话封装起来直接调用就好
}
//页面一运行就执行这里面的内容
protected void Page_Load(object sender, EventArgs e)
{
BindUser();
}
public void BindUser() { try { openDB(); //得到sql语句 //string sql = "select loginid,name,loginpwd,address,ClassName,mail from Users"; string sql = Getswhere(); //执行sql语句 using (cmd = new SqlCommand(sql, con)) //对象有了,我们要通过对象去执行sql语句 { //调用它,通过遍历加到cmd里面去,我们把下面的值给cmd //如果它里面有内容,我们就对它做一个循环 if (para.Count() > 0) { foreach(var p in para) { cmd.Parameters.Add(p); } } using (dr = cmd.ExecuteReader()) { IdGridView.DataSource = dr; IdGridView.DataBind(); } } } catch { Response.Write("网站正在维护中.......!"); } }
这里,我们简单用一个图描述一下它的运行原理:前面的是没有通过@传参直接通过cmd与数据库交互的结果,不安全;后面一种是加了"Parameter"
我们现在是把这个值new SqlParameter("@username",username)给sqlParameter数组,sqlparameter给cmd,cmd再执行,这样就可以避免SQL注入。
2.DataAdapter数据适配器
①.工作原理:DataAdapter数据适配器相当于中间环节[中间人]
ⅰ.前端页面委托数据适配器去实现和数据库的交互;
ⅱ.数据库交互之后,再通过数据库适配器再把数据放内存里;
ⅲ.然后我们的网页直接对内存里的东西读和写。(读的话可以直接读,写的话要再通过适配器把它加进去),这样数据库处于非正常连接的情况下也可以操作数据。
而之前的写法:
1.前端页面要和数据库交互,首先要建立起连接(数据库连接);
2.用完之后要释放资源
最大的好处就是:没有必要每一个页面都要与数据库进行连接,降低了数据库的压力。
②用数据适配器做一个查询[在程序中加存储过程]
<div> <asp:GridView ID="IdGridView" runat="server" AutoGenerateColumns="False"> <Columns> <asp:BoundField DataField="id" HeaderText="ID" /> <asp:BoundField DataField="username" HeaderText="用户名" /> <asp:BoundField DataField="PWD" HeaderText="密码" /> <asp:BoundField DataField="loginname" HeaderText="姓名" /> <asp:BoundField DataField="qq" HeaderText="QQ" /> <asp:BoundField DataField="classname" HeaderText="班级" /> <asp:TemplateField HeaderText="详情"> <ItemTemplate> <a href="UserInfo.aspx?id=<%#Eval("ID") %>" target="_blank">详情</a> <%--<a href='UserInfo.aspx?userid=<%#Eval("UserId") %>' target="_blank">详情</a <%-- <a href="one.aspx?">详情</a>--%> </ItemTemplate> </asp:TemplateField> </Columns> </asp:GridView> </div>
using System; using System.Collections.Generic; using System.Configuration; using System.Data.SqlClient; using System.Linq; using System.Web; using System.Web.UI; using System.Web.UI.WebControls; using System.Data; namespace _20160520 { public partial class egDataAp : System.Web.UI.Page { private string conStr = ConfigurationManager.ConnectionStrings["mySchool"].ToString(); SqlConnection con = null;//相当于是电话 SqlCommand cmd = null;//执行sql语句 SqlDataReader dr = null;//用于储存查询结果 //首先创建一个DataSet DataSet ds = new DataSet(); protected void Page_Load(object sender, EventArgs e) { //用数据适配器的方式做一个查询 con = new SqlConnection(conStr); string ssql = "select ID,username,PWD,loginname,qq,classname from Users"; using(cmd = new SqlCommand(ssql, con)) { //创建一个DataAdapter,传一个cmd SqlDataAdapter da = new SqlDataAdapter(cmd); //应用数据适配器进行填充,填充到ds里 da.Fill(ds); //指定一下数据源,.Tables[0]添加第一个table表 //IdGridView.DataSource = ds; IdGridView.DataSource=ds.Tables[0]; IdGridView.DataBind(); } } } }
③.DataAdapter调用存储过程[在数据库中加入存储过程调用]
private string conStr = ConfigurationManager.ConnectionStrings["mySchool"].ToString(); SqlConnection con = null;//相当于是电话 SqlCommand cmd = null;//执行sql语句 SqlDataReader dr = null;//用于储存查询结果 //首先创建一个DataSet DataSet ds = new DataSet(); protected void Page_Load(object sender, EventArgs e) { //用数据适配器的方式做一个查询 con = new SqlConnection(conStr); //string ssql = "select ID,username,PWD,loginname,qq,classname from Users"; //以上是之前的写法,这里我们直接传一个存储过程名 using (cmd = new SqlCommand("procegDataAp", con)) { //指定一个sqlcommand的CommandType(默认情况下等于CommandType.text)为CommandType的存储过程名 cmd.CommandType = CommandType.StoredProcedure; List<SqlParameter> para = new List<SqlParameter>() { //通过sqlParameter数组把它加到cmd里面去,需指定名称,类型,值 //模糊查询 new SqlParameter("@UserName","%"+TxtsUserName.Text.Trim()+"%") }; foreach(var a in para) { cmd.Parameters.Add(a); } //创建一个DataAdapter,传一个cmd SqlDataAdapter da = new SqlDataAdapter(cmd); //应用数据适配器进行填充,填充到ds里 da.Fill(ds); //指定一下数据源,.Tables[0]添加第一个table表 //IdGridView.DataSource = ds; IdGridView.DataSource = ds.Tables[0]; IdGridView.DataBind(); } }
3.DataSet,DataTable,DataReader,DataAdapter的区别:
ⅰ.DtaSet是用来做sql连接的一种方法,意思是把数据库的副本存在应用程序里,相当于存在内存中的数据库,应用程序开始运行时,把数据库相关数据保存到DataSet.
ⅱ.DataTable表示内存中数据的一个表,常和DefaultView使用获取可能包括筛选视图或游标位置的表的自定义视图。
ⅲ.DataReader对象是用来读取数据库最简单的方式,它只能读取不能写入,而且是从头至尾往下读,无法只读某条数据,但它占用内存小,速度快.
ⅳ.DataAdapter对象是用来读取数据库,可读取写入数据,某条数据操作强,但它占用内存比DataReader大,速度慢,一般和DataSet连用
注.DataSet表示一个数据集,是数据在内存中的缓存。可以包含多个表DataTable,DataSet连接数据时是非面向连接的,把表全部读到sql中的缓存池,并断开于数据库的连接,DataReader连接数据库是面向连接的。读表时,只能向前读取,读完数据后友用户决定是否断开连接。
标签:
版权申明:本站文章部分自网络,如有侵权,请联系:west999com@outlook.com
特别注意:本站所有转载文章言论不代表本站观点,本站所提供的摄影照片,插画,设计作品,如需使用,请与原作者联系,版权归原作者所有
下一篇:参数化查询模糊查询
- jsp+servlet+mysql简单实现用户登陆注册 2019-08-26
- MySql+Socket 完成数据库的增查Demo 2018-09-05
- MySQL常见错误分析与解决方法总结 2018-07-16
- jsp实现账户登录、注册! 2018-06-24
- sql注入【手工及一些工具】 2018-06-24
IDC资讯: 主机资讯 注册资讯 托管资讯 vps资讯 网站建设
网站运营: 建站经验 策划盈利 搜索优化 网站推广 免费资源
网络编程: Asp.Net编程 Asp编程 Php编程 Xml编程 Access Mssql Mysql 其它
服务器技术: Web服务器 Ftp服务器 Mail服务器 Dns服务器 安全防护
软件技巧: 其它软件 Word Excel Powerpoint Ghost Vista QQ空间 QQ FlashGet 迅雷
网页制作: FrontPages Dreamweaver Javascript css photoshop fireworks Flash