※ 引述《wa007123456 (大笨羊)》之銘言： : 大家都知道 SQL注入是駭客web攻擊常見的方法之一 : 如果今天用C#來實作 : 要怎麼防止POST和GET有惡意字元? : 我唯一想到的頭緒是Global.asax : 但是不知如何實作 : 感謝各位先輩 常見的有幾個方法，其實推文大致上都說了 1.LinQ to SQL https://msdn.microsoft.com/zh-tw/library/bb386295(v=vs.110).aspx 看名稱就知道是用LinQ語法來操作SQL 不過簡單的CRUD還ok，如果是相當複雜的操作，就不是太好使用 2.ADO.NET Entity Framework (ADO.NET EF) 這文章相當多，如果對 SQL 不是很擅長的話，是一個很好的方法 透過 Mapping Objects to Data 來操作 DB 另外也有 LinQ to Entity 可以一起使用 對不習慣寫 SQL 的人是很好的一種做法 3.Sql Parameters https://msdn.microsoft.com/en-us/library/system.data.sqlclient. sqlcommand.parameters(v=vs.110).aspx 縮址: https://goo.gl/LuhTLc 透過 parameter 的方式來傳遞參數 值得注意的是 parameter 只能用在條件式的條件 如果要動態的改變查詢的 column 或 table 等是無法用 parameter 來傳遞的 此時可以合併使用第四種方法 4.先在程式中轉換，再組合成 Sql Command Text 簡單來說就是先用程式轉換過一次(if else 或 switch 等等) http://ideone.com/g85kLi 如果你習慣寫SQL的話，3+4是不錯的方法 對 SQL 比較不熟悉的話，使用ADO.NET EF也是很好的一種方法 已經一陣子沒寫C#了，這些是以前我會使用的方法，讓你參考一下 --

※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 220.135.150.144 ※ 文章網址: https://webptt.com/m.aspx?n=bbs/Web_Design/M.1444275186.A.1AE.html