避免Sql注入攻击

我有一个 ASP.NET 应用程序。其中我有这段代码：

 using (Data.connexion)
    {
        string queryString = @"select id_user , nom, prenom, mail, login, mdp, last_visite, id_group, id_user_status from USERS where login =@login and mdp=@mdp";
        SqlCommand command = new SqlCommand(queryString, Data.connexion);
        command.Parameters.AddWithValue("@login", _login);
        command.Parameters.AddWithValue("@mdp", _password.GetHashCode().ToString());
        try
        {
            SqlDataReader reader = command.ExecuteReader();
            do
            {
                while (reader.Read())
                {
                    return View("Success");
                }
            } while (reader.NextResult());

        }
        catch {  }
    }

当我尝试使用此登录进行 Sql 注入攻击时'' or 1=1 --，攻击失败。但如果我改变这个片段：

 using (Data.connexion)
            {
                string queryString = @"select id_user , nom, prenom, mail, login, mdp, last_visite, id_group, id_user_status from USERS where login =" + _login + " and mdp=" + _password.GetHashCode().ToString();
                SqlCommand command = new SqlCommand(queryString, Data.connexion);
              //  command.Parameters.AddWithValue("@login", _login);
               // command.Parameters.AddWithValue("@mdp", _password.GetHashCode().ToString());
                try
                {
                    SqlDataReader reader = command.ExecuteReader();
                    do
                    {
                        while (reader.Read())
                        {
                            return View("Success");
                        }
                    } while (reader.NextResult());

                }
                catch {  }
            }

我被重定向到视图success这样攻击就成功了。

这两种编码方式有什么区别？预防和避免 Sql 注入攻击的最佳方法是什么？

防止 SQL 注入的最佳方法是使用参数化查询。

You can将值连接到字符串时确保安全，但必须完全正确，并且具体方法因数据库品牌而异。

对于 SQL Server，您可以通过将字符串中的任何撇号加倍来对字符串值进行编码。这样，任何撇号都会被数据库正确解释，并且不可能使用撇号来打破字符串：

string queryString = "select id_user, nom, prenom, mail, login, mdp, last_visite, id_group, id_user_status from USERS where login = '" + _login.Replace("'","''") + "' and mdp = '" + _password.GetHashCode().ToString().Replace("'","''") + "'";

但是，使用参数化查询仍然更容易，然后数据库驱动程序会为您完成此操作。如果您尝试自己处理编码，但没有得到正确的结果，那么您就陷入了困境worse地方，因为您认为问题已得到解决，但它可能很容易受到 SQL 注入攻击。

旁注：String.GetHashCode方法不适合哈希密码之类的事情。该方法的实现将来可能会发生变化（就像过去一样），这将使数据库中的所有散列密码变得无用。

“不要序列化哈希码值或将它们存储在数据库中。” -- http://msdn.microsoft.com/en-us/library/system.string.gethashcode.aspx