【黑马程序员】登录时防止SQL注入漏洞攻击

----------------------Windows Phone 7手机开发、.Net培训、期待与您交流！ ----------------------

防止SQL注入漏洞攻击的方法：不使用SQL语句拼接，通过参数赋值。

使用SQL语句拼接时，用密码1' or '1'='1，可以登录成功。所以为了网站的安全，还是通过参数赋值的方式来登陆。

class Program
{
static void Main(string[] args)
{
Console.WriteLine("请输入用户名：");
string username = Console.ReadLine();
Console.WriteLine("请输入密码：");
string pwd = Console.ReadLine();

using (SqlConnection conn = new SqlConnection("data source=.;database=ado;uid=ado;pwd=123;"))
{
conn.Open();

using (SqlCommand cmd = new SqlCommand())
{
cmd.Connection = conn;
cmd.CommandText = "select count(*) from users where username='" + username + "'and password='" + pwd + "'";
//用以上的SQL语句拼接，会出现注入漏洞。。。。。用密码1' or '1'='1，都能登录成功

//参数赋值
//cmd.CommandText = "select count(*) from users where username=@UN and password=@PWD";
//cmd.Parameters.Add(new SqlParameter("UN", username));
//cmd.Parameters.Add(new SqlParameter("PWD", pwd));
int i = Convert.ToInt32(cmd.ExecuteScalar());
if (i > 0)
{
Console.WriteLine("登录成功");
}
else
{
Console.WriteLine("用户名或密码错误！");
}
}
}

Console.ReadKey();
}
}

----------------------Windows Phone 7手机开发、.Net培训、期待与您交流！ ----------------------