C# 为避免sql注入而要执行的手动操作列表？
我目前正在使用c#连接到链接的SQL Server。问题是参数化不起作用，因为我必须在命令SQL字符串中使用openquery 这现在对我来说意味着（据我所知）我有一个问题，我需要做不应该做的事情……设置手动设置以避免SQL注入，而不是使用参数化SQL命令 我所拥有的是参数本身以及我需要确保安全的参数值 例如： 参数accountnumber的值为100-200-300-400，客户端的值为'MIP' 所以我的问题是：有没有列出最常见的攻击路线以及如何打击它们 （或者，由于最常见的路线不对我开放，我还可以选择其他路线吗？来自 您有以下几种选择： 选项1：白名单输入验证 请前往查看建议白名单 SQL查询的各个部分都不是使用绑定变量的合法位置，例如表或列的名称以及排序顺序指示符（ASC或DESC）。在这种情况下，输入验证或查询重新设计是最合适的防御措施。对于表或列的名称，理想情况下，这些值来自代码，而不是来自用户参数。但是，如果使用用户参数值使表名和列名不同，则参数值应映射到合法/预期的表名或列名，以确保未验证的用户输入不会在查询中结束。请注意，这是设计不良的症状，如果时间允许，应考虑完全重新写入。下面是一个表名验证的示例C# 为避免sql注入而要执行的手动操作列表？,c#,sql,C#,Sql,我目前正在使用c#连接到链接的SQL Server。问题是参数化不起作用，因为我必须在命令SQL字符串中使用openquery 这现在对我来说意味着（据我所知）我有一个问题，我需要做不应该做的事情……设置手动设置以避免SQL注入，而不是使用参数化SQL命令 我所拥有的是参数本身以及我需要确保安全的参数值 例如： 参数accountnumber的值为100-200-300-400，客户端的值为'MIP' 所以我的问题是：有没有列出最常见的攻击路线以及如何打击它们 （或者，由于最常见的路线不对我开放
String tableName;
switch(PARAM):
case "Value1": tableName = "fooTable";
break;
case "Value2": tableName = "barTable";
break;
...
default : throw new InputValidationException("unexpected value provided for table name");
String tableName;
switch(PARAM):
case "Value1": tableName = "fooTable";
break;
case "Value2": tableName = "barTable";
break;
...
default : throw new InputValidationException("unexpected value provided for table name");