带参数的Sql注入

Question

以下是否暴露了Sql Injection攻击矢量？如果它确实如何防止它？

@bookId = '1234;' + 'Drop table Books;' 
Select * from Books where bookId = @bookId 

不会这样执行吗？ ：

Select * from Books where bookId = 1234; Drop table Books; 

Answer 1

不，它不会。这不是参数化的工作原理。参数化不是字符串连接。

此代码将尝试查找ID为1234;Drop table Books;的书。如果bookId是integer，那么它将在类型转换中失败。

你很安全。

Answer 2

您可能还会觉得这有用：http://crypto.stanford.edu/cs142/lectures/16-sql-inj.pdf