sql - SQL インジェクションの脅威を防ぐために、文字列「--」と「;」をブロックしました。しかし、それでも安全かどうかはわかりません..?

Question

アプリケーションに、ユーザーがリードを検索するために where 句を入力するテキスト ボックスがあります。ANDこの条件は、SQL Server 2008 のストアド プロシージャで論理演算子を使用して元の検索クエリに連結されます。

その条件で書き込みDELETEやサブクエリは可能ですか？DROP

Answer 1

あなたは負け戦を戦っています。

入力の内容をブラックリストまたはホワイトリストに登録して、SQL インジェクションを防ごうとしないでください。代わりに、パラメーター化されたクエリを使用してください。その後、何を入力してもかまいません。