asp.net - ASP.NET での SQL インジェクションからの保護

Question

ここの「ASP.NET での SQL インジェクションからの保護」ページはサポートされていないことに気付きました。パラメータを置き換えるためにASP.NET 2.0の後に何が登場しましたか?

Answer 1

OWASP Sql インジェクション防止チート シートを備えた OWASP など、より一般的なテクノロジに特化したセキュリティ固有の Web サイトにいつでも戻ることができます。

Answer 2

前のコメントで述べたように、Microsoft Anti Cross Site Scripting Library/Security Runtime Engine を使用します。

フォームから SQL クエリへのフィールド、および DB からフォームへのフィールドに AntiXSS を使用することをお勧めします。

申込用紙へ：

<%@ Import Namespace="Microsoft.Security.Application" %>
<%# Encoder.HtmlAttributeEncode(Eval("FROMDB").ToString()) %>

データベースへ:

using Microsoft.Security.Application;
string DBVAR = Encoder.HtmlAttributeEncode(txtField.Text);

Web アプリケーションのデフォルト エンコーダーとして設定する方法

ドキュメンテーションは最善ではありませんが、ホワイトリスト アプローチとしてうまく機能します。