SQL注入入侵防范技术措施.docVIP

SQL注入入侵防范技术措施 防止SQL注入，通常一个一个文件修改不仅麻烦而且还有漏掉的危险，下面我说一下如何从整个系统防止注入。 做到以下三步，相信你的程序就会比较安全了，而且对整个网站的维护也将变的简单。 一、数据验证类 parameterCheck.cs public class parameterCheck{ public static bool isEmail(string emailString){ return System.Text.RegularExpressions.Regex.IsMatch(emailString, [\\w_-]+(\\. [\\w_-]+)*@[\\w_-]+(\\.[\\w_-]+)*\\.[a-zA-Z]{2,4}); } public static bool isInt(string intString){ return System.Text.RegularExpressions.Regex.IsMatch(intString ,^(\\d{5}-\\d{4})| (\\d{5})$); } public static bool isUSZip(string zipString){ return System.Text.RegularExpressions.Regex.IsMatch(zipString ,^-[0-9]+$|^[0-9] +$); } } 二、Web.config 在你的Web.config文件中，在下面增加一个标签，如下： appSettings add key=safeParameters value=OrderID-int32,CustomerEmail-email,ShippingZipcode- USzip / /appSettings 其中key是后面的值为“OrderId-int32”等，其中“-”前面表示参数的名称比如：OrderId，后面的int32表示数据类型。 三、Global.asax 在Global.asax中增加下面一段： protected void Application_BeginRequest(Object sender, EventArgs e){ String[] safeParameters = System.Configuration.ConfigurationSettings.AppSettings [safeParameters].ToString().Split(,); for(int i= 0 ;i safeParameters.Length; i++){ String parameterName = safeParameters.Split(-)[0]; String parameterType = safeParameters.Split(-)[1]; isValidParameter(parameterName, parameterType); } } public void isValidParameter(string parameterName, string parameterType){ string parameterValue = Request.QueryString[parameterName]; if(parameterValue == null) return; if(parameterType.Equals(int32)){ if(!parameterCheck.isInt(parameterValue)) Response.Redirect(parameterError.aspx); } else if (parameterType.Equals(double)){ if(!parameterCheck.isDouble(parameterValue)) Response.Redirect(parameterError.aspx); } else if (parameterType.Equals(USzip)){ if(!parameterCheck.isUSZip(parameterValue)) Response.Redirect(parameterError.aspx); } else if (pa