FROM ORDERS--

    上面SQL表達式在服務端的執行結果是向SQL語句中插入了一條惡意的請求命令。如果將其翻譯成動態的SQL語句的話，代碼如下：

SELECT [CustomerID], [CompanyName],
[ContactName]
   FROM [Customers]
WHERE CompanyName ='Oracle'
UNION SELECT CustomerID, ShipName,
ShipAddress
FROM ORDERS--'

五、通過LINQ使數據訪問更安全

    我們用LINQ to SQL進行數據訪問時，它可以很容易地消除在我們的應用程序中由于SQL注入而帶來的安全隱患，這主要是由于在LINQ中每一個執行的SQL查詢都是參數化的。當使用LINQ建立SQL查詢時，任何提供給查詢的輸入都被看做是參數字符串，無論這個輸入是從哪里來的。開發人員可以在Visual Studio2008中使用集成的LINQ，并通過智能編輯器和編譯時語法檢查來書寫正確的代碼。編譯器可以捕捉很多可能引起功能性錯誤或其他類似的安全隱患的查詢錯誤。與之對比，我們寫的SQL表達式只能在運行時通過數據庫系統對其進行分析和解釋。這樣我們就很難在運行之前知道它們是否正確。曾經有很多攻擊者試著通過對LINQ采取欺騙的手段使其運行非法或具有惡意的SQL語句。但幸運的是，最新的語言和編譯器阻止了這一切的發生。

    心動不如行動，在這里我們來使用LINQ實現一個customer搜索的例子，并使用LINQ來阻止SQL注入的攻擊。第一步是在數據庫中建立和關系數據對應的對象模型。Visual Studio2008包括了一個新的對象關系設計器（也就是O/R設計器），它可以通過拖拽的方式為我們產生全部的對象模型，其中包括對象的設計和它們之間的關系。為了對我們的Northwind中的Customers表建立對象模型，我們需要通過選擇“Add New Item...”，并選擇“LINQ to SQL File”模板（這個模板將打開O/R設計器）在應用程序中建立一個LINQ to SQL文件。為了自動建立完整的Customers表的對象模型，在Server Explorer中選擇這個表，并將它拖到O/R設計器的界面上，如圖2所示。在這個例子中，O/R設計器在應用程序中加入一個Customers.designer.cs文件來定義我們在代碼中使用的類。而不是直接寫代碼和數據庫交互。

     圖2 使用O/R設計器映射Customers表

protected void Page_Load(object sender, EventArgs e)
{
string connectionString =
         ConfigurationManager.ConnectionStrings
["northwndConnectionString1"].ConnectionString;
CustomersDataContext db = new
         CustomersDataContext(connectionString);
GridView1.DataSource =
from customer in db.Customers
where customer.CompanyName ==
txtCompanyName.Text
orderby customer.CompanyName
select customer;
GridView1.DataBind();
}

   SELECT [t0].[CustomerID], [t0].[CompanyName],
[t0].[ContactName], [t0].[ContactTitle], [t0].[Address],
[t0].[City], [t0].[Region], [t0].[PostalCode], [t0].[Country],
[t0].[Phone], [t0].[Fax]
   FROM [dbo].[Customers] AS [t0]
   WHERE [t0].[CompanyName] = @p0
   ORDER BY [t0].[CompanyName]}