Asp.Net下防Sql注入和写安全的代码

分析Sql注入攻击的原理不难知道主要还是在网站编制过程中没有考虑防此类攻击的有效性验证，同时说明使用存储过程在防止此类攻击有很好的效果，因为通常它会对输入参数进行类型转化，这些参数只可能是字段值，而不会被理解为sql语句中的一部分。当然有些网站在开发过程中并没有考虑这种防范措施，改起代码来工作量比较大，网上有很多方法，我整理了一下，测试的效果还可以，供参考，在此不标明原始出处了。
此类方法就是在全局Application类的Application_BeginRequest方法中对用户输入的数据进行过滤，滤去不应该出现在地址栏中的Sql敏感单词。
一、若aps.net工程中没有全局类，则新建一个全局应用程序类；
二、为此类添加以下方法，SqlStr就是要屏蔽的Sql关键字，可以根据需要变化其中内容。
    private bool ProcessSqlStr(string Str) { bool ReturnValue = true; try { if (Str != "") { string SqlStr = "select*|and'|or'|insertinto|deletefrom|altertable|update|createtable|createview|dropview|createindex|dropindex|createprocedure|dropprocedure|createtrigger|droptrigger|createschema|dropschema|createdomain|alterdomain|dropdomain|);|select@|declare@|print@|char(|select"; string[] anySqlStr = SqlStr.Split('|'); foreach (string ss in anySqlStr) { if (Str.IndexOf(ss) >= 0) { ReturnValue = false; } } } } catch { ReturnValue = false; } return ReturnValue; }

三、为Application类添加Application_BeginRequest方法，如下：
    protected void Application_BeginRequest(Object sender, EventArgs e) { ////遍历Post参数，隐藏域除外 //foreach (string i in this.Request.Form) //{ // if (i == "__VIEWSTATE") continue; // this.goErr(this.Request.Form[i].ToString()); //} ////遍历Get参数。 //foreach (string i in this.Request.QueryString) //{ // this.goErr(this.Request.QueryString[i].ToString()); //} try { string getkeys = ""; string sqlErrorPage = System.Configuration.ConfigurationSettings.AppSettings["CustomErrorPage"].ToString(); if (System.Web.HttpContext.Current.Request.QueryString != null) { for (int i = 0; i < System.Web.HttpContext.Current.Request.QueryString.Count; i++) { getkeys = System.Web.HttpContext.Current.Request.QueryString.Keys[i]; if (!ProcessSqlStr(System.Web.HttpContext.Current.Request.QueryString[getkeys])) { System.Web.HttpContext.Current.Response.Redirect(sqlErrorPage + "?errmsg=sqlserver&sqlprocess=true"); System.Web.HttpContext.Current.Response.End(); } } } if (System.Web.HttpContext.Current.Request.Form != null) { for (int i = 0; i < System.Web.HttpContext.Current.Request.Form.Count; i++) { getkeys = System.Web.HttpContext.Current.Request.Form.Keys[i]; if (!ProcessSqlStr(System.Web.HttpContext.Current.Request.Form[getkeys])) { System.Web.HttpContext.Current.Response.Redirect(sqlErrorPage + "?errmsg=sqlserver&sqlprocess=true"); System.Web.HttpContext.Current.Response.End(); } } } } catch { // 错误处理: 处理用户提交信息! } }

四、建立一个错误警告页，将可疑输入定向到错误页，如ErrorPage.html
在web.config中加入的 <appSettings>中加入参数
<add key="CustomErrorPage" value="../ErrorPage.html" />
五、关键还是在于要写安全的代码，合理使用存储过程。