如何防范ASP.NET网站SQL注入？ASP.NET SQL注入防护方法详解

在ASP.NET中防止SQL注入攻击是至关重要的安全措施，SQL注入通过恶意SQL代码操纵数据库查询，可能导致数据泄露、篡改或删除，以下是关键防护策略和最佳实践：

参数化查询（最有效方法）

使用SqlParameter将用户输入视为数据而非可执行代码：

string sql = "SELECT * FROM Users WHERE Username = @Username AND Password = @Password";
using (SqlCommand cmd = new SqlCommand(sql, connection))
{
    cmd.Parameters.AddWithValue("@Username", txtUsername.Text);
    cmd.Parameters.AddWithValue("@Password", txtPassword.Text);
    // 执行查询...
}

使用ORM框架

如Entity Framework或Dapper，自动处理参数化：

// Entity Framework示例
var user = dbContext.Users
                   .Where(u => u.Username == txtUsername.Text && u.Password == txtPassword.Text)
                   .FirstOrDefault();

存储过程（需配合参数化）

using (SqlCommand cmd = new SqlCommand("sp_AuthenticateUser", connection))
{
    cmd.CommandType = CommandType.StoredProcedure;
    cmd.Parameters.AddWithValue("@Username", txtUsername.Text);
    cmd.Parameters.AddWithValue("@Password", txtPassword.Text);
}

输入验证与净化

• 白名单验证：使用正则表达式限制输入格式

  if (!Regex.IsMatch(txtUsername.Text, @"^[a-zA-Z0-9]{4,20}$"))
  {
      // 拒绝非法输入
  }

• ASP.NET验证控件：

  <asp:TextBox ID="txtEmail" runat="server" />
  <asp:RegularExpressionValidator 
      ControlToValidate="txtEmail"
      ValidationExpression="w+([-+.]w+)*@w+([-.]w+)*.w+([-.]w+)*"
      ErrorMessage="Invalid email" />

最小权限原则

数据库连接账户仅授予必要权限：

<connectionStrings>
  <add name="MyDB" 
       connectionString="Server=...;Database=...;User Id=appuser;Password=...;" 
       providerName="System.Data.SqlClient" />
</connectionStrings>

错误处理

禁止显示详细数据库错误：

<!-- Web.config配置 -->
<customErrors mode="RemoteOnly" defaultRedirect="Error.aspx">
  <error statusCode="500" redirect="InternalError.html"/>
</customErrors>

额外安全措施

• 输出编码：防止XSS（虽非SQL注入，但常并行使用）

  lblResult.Text = HttpUtility.HtmlEncode(databaseResult);

• 启用请求验证（ASP.NET Web Forms）：

  <pages validateRequest="true" />

• 使用安全库：如Microsoft AntiXSS Library

避免危险做法

❌ 禁止字符串拼接SQL：

// 高危代码！绝对禁止！
string sql = "SELECT * FROM Users WHERE Name = '" + txtName.Text + "'";

ASP.NET Core特定防护

• 模型绑定验证：

  public class LoginModel
  {
      [Required]
      [StringLength(50, MinimumLength = 4)]
      [RegularExpression(@"^[a-z0-9]+$")]
      public string Username { get; set; }
  }

• 内置依赖注入安全：

  services.AddDbContext<AppDbContext>(options => ...);

安全测试工具

• 使用SQLMap进行渗透测试
• 定期进行代码审计（如使用SonarQube）

小编总结关键点

始终遵循深度防御原则：即使某层防护失效，其他层仍能提供保护，参数化查询是基石，必须强制使用。