asp.net에서 매개 변수화 된 쿼리를 만드는 방법은 무엇입니까?

Question

나는 문자열 연결이 SQL 삽입에 취약하다는 것을 배웠다. 슬프게도 나는 대부분 내 코드에 이미 적용했다. 매개 변수화 된 쿼리를 통합하려고하지만 어떻게 든 온라인 예제가 내 문제에 대답하지 않습니다. 내가 본 대부분의 예는 이것이다 :

string query = "SELECT * FROM Products WHERE ProductID = @Id"; 
SqlCommand cmd = new SqlCommand(query, conn); 
cmd.Parameters.AddWithValue("@Id", Request.QueryString["Id"]); 

그러나 나는이 같은 SQL 문을 경우 : 또한

public static void CreateLingerieBrandsDatabase(string brand) 
{ 
    SqlConnection createBrandData = new SqlConnection(@"Data Source=Y560\SQLEXPRESS;Initial Catalog=LingerieItemsDB;Integrated Security=True"); 
    createBrandData.Open(); 
    SqlCommand cmdBrandData = new SqlCommand("CREATE TABLE lingerieItem" + brand + "(id int,type char(50),model char(50),price float,image1 char(255),image2 char(255),description text, [neck type], [color] char(50)); ", createBrandData); 
    cmdBrandData.ExecuteNonQuery(); 
    createBrandData.Close(); 
} 

를, 내가하는 것입니다, 텍스트 상자에 문자열 브랜드의 가치를 얻고있다 CreateLingerieBrandsDatabase 메서드에 전달 될 수 있습니다. 문자열 연결로 넘어갑니다. 그건 그렇고, 내가 왜 lingerieItemGlamory, lingerieItemEvgenia 및 lingerieItemVictoria 같은 각 브랜드에 대한 3 개의 별도의 테이블을 만들었 기 때문에 내가 테이블 이름에 문자열 연결을 사용하는 이유입니다. 관리자가 텍스트 상자에 Glamory를 입력 한 다음 제출을 클릭하면 액세스 할 데이터베이스 테이블을 알게됩니다.

EDITED : 위의 예에서 언급 한 3 개의 이전 브랜드 (연결된 부분 제외)와 동일한 테이블 이름을 가진 새 데이터베이스가 생성됩니다. 따라서 액세스 할 시간이되면 액세스 할 수있는 브랜드를 알 수 있습니다.

내 코드가 지저분하고 아직 초보자 인 것을 알고 있습니다. 여러분이 저에게 더 나은 솔루션을 제안하고 코드를 향상 시키길 바랍니다. 실제 사례를 제공하는 것도 매우 높이 평가됩니다. 와!

Answer 1

테이블 이름은 매개 변수로 대체 될 수 없습니다. 연결을 통해 이름을 작성해야합니다. 이름이 보이는 브랜드가 특정 미리 정의 된 목록으로 제한 할 수 있기 때문에 그리고, 단지 SQL 주입, 예컨대 : 당신은 식별자를 매개 변수화 할 수 없습니다

public static void CreateLingerieBrandsDatabase(string brand) 
{ 
    SqlConnection createBrandData = new SqlConnection(@"Data Source=Y560\SQLEXPRESS;Initial Catalog=LingerieItemsDB;Integrated Security=True"); 
    createBrandData.Open(); 
    if (!Regex.Match(brand, @"^(?:Glamory|Evgenia|Victoria)$", RegexOptions.IgnoreCase).Success) 
     throw new ArgumentException("Invalid brand"); 
    SqlCommand cmdBrandData = new SqlCommand("CREATE TABLE lingerieItem" + brand + "(id int,type char(50),model char(50),price float,image1 char(255),image2 char(255),description text, [neck type], [color] char(50)); ", createBrandData); 
    cmdBrandData.ExecuteNonQuery(); 
    createBrandData.Close(); 
}