Question

我想知道,在从执行Stored程序处执行 sql 时,我是否需要使用参数化查询,以防止 SQL 喷射攻击?

根据这个""http://msdn.microsoft.com/en-us/library/dd487208.aspx" rel=“nofollow”>MSDN链接 ,我应该使用参数。

根据此", http://msdn.microsoft.com/en-us/library/ee358758.aspx" rel=“nofollow” > 其它 MSDN 链接 , 使用 {0} 的 sql 字符串相当于使用参数。

所以在我的 SQL 语句中只包含一个 {0} 、 {1} 等是否真的正常 :

var rv = _context.ExecuteStoreQuery<int>("select ID from table where typeID = {0}", typeID);

或者我需要:

     var param = new SqlParameter("@typeID", SqlDbType.Int);
     param.Value = typeID;
     var rv = _context.ExecuteStoreQuery<int>("select ID from table where typeID = @typeID", param);

Answer 1

它基本上归结为此。您是否重复使用查询, 有很多电话, 但类型ID 的值不同? 那么是的, 它可能会在性能上产生微小的差别。

另一方面,如果你只是打这个电话, 那么绝大多数的表演打击将会是你的DB电话。

我个人还没有看到,这在过去8-10年中写过的任何代码中都产生了显著的改变。

所以,我投票 - 不用麻烦了。

友情链接