Asp.net 参数化查询是避免sql注入的唯一方法吗？

是否有一种方法（特别是使用ASP.net工具）来避免参数化查询以外的sql注入？

最简单的方法之一就是我所说的清理。在构造SQL语句时，只需

Replace（vsInputString，“”，“”）

：

Dim vsSQLStatement = "SELECT * FROM table01 WHERE myField = '" & Replace(vsFormTextInput, "'", "''" ) & "';"

---

也将有助于停止SQL注入。

当然可以。除了参数化查询之外，您还应该考虑这些：

使用存储过程

使用受限访问帐户连接到数据库（非管理员级别）

加密连接字符串和其他敏感数据

设置debug=false（在customError中）以最小化发生错误时的信息

---

我希望它能帮助您。

参数化查询有什么问题吗？我想看看使用ORM的情况。。。但即使是那些也只能为你做…有一个dll AntiXSS库，你应该使用它这里有一个链接@krshekhar，这就是我要找的，一个ASP.net工具，在这里是Anti-XSS库，用来过滤我的用户输入。尽管它似乎不仅仅对SQL查询非常有用。