asp.net 如果程序中全部参数化，并且不存在SQL拼接，是否会彻底防止sql注入?
0
[已关闭问题]
如果程序中全部参数化，并且不存在SQL拼接，是否会彻底防止sql注入?
其他回答(5)
0
不会,你必须仔细检查你的查询语句,以确定是否在最后形成的SQL语句中可以注入.
0
对所有查询有关的地方，用户可以手动输入的地方，过滤常见SQL注入字符。
0
所有用代码实现的东西，都没有彻底或绝对一说，你所说参数化只能在很大程度上防止注入，要防的话也得知己知彼，你也要懂得怎么注入，这方面很多黑客的书里面都有，或者看黑鹰基地的一些教程。
0
要过滤字符串，还要过滤输入的参数，防止参数本身就是个注入
0
全部参数化是可以减少SQL注入，但是并不完全能防止，写一个类专门检测SQL中的关键字，一但是该关键字的话，就视为不安全的参数即可。
0
