.NET MVC中安全传递数据库参数及规避SQL注入的示例方案

Hey there! 刚接触.NET数据库开发碰到SQL注入风险很正常，咱们直接把你的代码改成安全版本——核心就是用参数化查询，这是防止SQL注入的标准做法，彻底切断注入的可能性。

先说说你原来代码的风险点：如果你的SQL语句里是直接拼接变量（比如select turbine_name from table where id = ' + userId + '），那攻击者很容易通过构造恶意输入篡改SQL逻辑，比如输入1' OR '1'='1直接拿到所有数据。

下面是重构后的安全代码，同时还优化了资源管理（用using自动释放连接/命令，避免内存泄漏）：

DataTable dt_datat_for_chart = new DataTable();
string cn = System.Configuration.ConfigurationManager.ConnectionStrings["DB"].ConnectionString;

// 使用using语句自动管理连接和命令的生命周期，不用手动置null或关闭
using (NpgsqlConnection con = new NpgsqlConnection(cn))
{
    // 假设你的完整SQL是带动态参数的，比如根据涡轮机ID查询，用@参数名占位
    string sql = @"SELECT turbine_name, other_columns 
                   FROM your_table_name 
                   WHERE turbine_id = @TurbineId"; // 这里用@参数代替直接拼接值

    using (NpgsqlCommand cmd = new NpgsqlCommand(sql, con))
    {
        // 添加参数，指定参数名和对应的值，还可以指定类型更严谨
        cmd.Parameters.Add(new NpgsqlParameter("@TurbineId", NpgsqlDbType.Integer) { Value = 123 }); // 替换成你的实际参数值

        // 用DataAdapter填充DataTable
        using (NpgsqlDataAdapter dataForGrid_Adapter = new NpgsqlDataAdapter(cmd))
        {
            dataForGrid_Adapter.Fill(dt_datat_for_chart);
        }
    }
}

关键要点说明： #

• 参数化查询：SQL里的@TurbineId是参数占位符，数据库会把SQL语句和参数值分开解析，绝对不会把参数值当成SQL代码执行，从根源上避免注入。
• using语句：NpgsqlConnection、NpgsqlCommand、NpgsqlDataAdapter都实现了IDisposable接口，用using包裹会自动在代码块结束时释放资源，不用手动写con.Close()或者置null，更安全简洁。
• 强类型参数：添加参数时指定NpgsqlDbType（比如NpgsqlDbType.Integer），可以避免类型转换问题，也让代码更清晰。

额外最佳实践： #

• 永远不要直接把用户输入、URL参数、表单值这类动态内容拼到SQL字符串里
• 如果需要动态生成查询条件（比如多条件筛选），可以手动添加多个参数，依然保持参数化的原则
• 尽量使用ORM框架（比如Entity Framework Core），它默认就是参数化查询，能进一步简化开发同时保证安全

内容的提问来源于stack exchange，提问作者papagallo