Sqlserver
 sql >> Baza danych >  >> RDS >> Sqlserver

Jak SQLParameter zapobiega wstrzykiwaniu SQL?

Zasadniczo, gdy wykonujesz SQLCommand przy użyciu SQLParameters , parametry nigdy nie są wstawiane bezpośrednio do instrukcji. Zamiast tego systemowa procedura składowana o nazwie sp_executesql jest wywoływana i otrzymuje ciąg SQL oraz tablicę parametrów.

Gdy są używane jako takie, parametry są izolowane i traktowane jako dane, a nie muszą być analizowane z instrukcji (i w ten sposób prawdopodobnie je zmieniać), więc to, co zawierają parametry, nigdy nie może zostać "wykonane". Otrzymasz po prostu duży błąd, że wartość parametru jest w jakiś sposób nieprawidłowa.



  1. Database
  2.   
  3. Mysql
  4.   
  5. Oracle
  6.   
  7. Sqlserver
  8.   
  9. PostgreSQL
  10.   
  11. Access
  12.   
  13. SQLite
  14.   
  15. MariaDB
  1. Usunąć klucz obcy bez znajomości nazwy ograniczenia?

  2. Co to jest LEN() w SQL Server?

  3. Wprowadzenie do programu SQL Server 2017 w systemie Linux w portalu Azure

  4. Jakie są główne różnice w wydajności między typami danych varchar i nvarchar SQL Server?

  5. Konfigurowanie powiadomień o poczcie bazy danych w MS SQL Server