指令碼擅用的變化型式，即是造成惡意 SQL 陳述式執行。當應用程式提示使用者輸入資訊，再將使用者輸入串連到表示 SQL 陳述式的字串中，就可能發生這種情況。例如，應用程式可能會以執行以下陳述式的方式，提示輸入客戶名稱：

"Select * From Customers where CustomerName = " & txtCustomerName.Value

但是惡意使用者如果熟悉資料庫，會使用文字方塊輸入含有客戶名稱的內嵌 SQL 陳述式，產生陳述式如下所示：

Select * From Customers Where CustomerName = 'a' Delete From Customers Where CustomerName > ''

當執行查詢時，就會危害資料庫的安全。

對於防範擅用指令碼的主要措施，就是絕對不要信任來自使用者的資訊。假定任何從瀏覽器發佈至您應用程式的資料，都可能含有惡意指令碼。

同樣地，每當您撰寫字串到網頁時，應該假設字串可能含有惡意指令碼 (除非您自己以程式的方式建立字串)。例如，當您從資料庫讀取字串時，應該假定其中可能含有惡意指令碼。最具安全性意識的開發人員，並不信任自己的資料庫，這是基於惡意使用者可能已經發現竄改資料庫方法的一種想法。

ASP.NET 提供您協助防範擅用指令碼的幾個方法：

• ASP.NET 針對查詢字串和表單變數以及 cookie 值執行要求驗證。根據預設，如果目前的 Request 含有 HTML 編碼項目或某些 HTML 字元 (例如，— 代表長破折號)，ASP.NET 網頁架構會引發錯誤。

• 如果要在應用程式中顯示字串，但並不信任這些字串，則可在將字串寫回到回應時，對其套用 HTML 編碼。例如，使用編碼方式，標記 <b> 會變成 &lt;b&gt;。使用的時機為當您顯示來自資料庫的字串，但無法確定是否可以信任其內容時。

• 如果您想要應用程式接受一些 HTML (例如，使用者的某些格式化指示)，則應當在用戶端對 HTML 進行編碼，再將其送出到伺服器。如需詳細資訊，請參閱 HOW TO：利用將 HTML 編碼套用至字串的方法，防止會在 Web 應用程式中發生的指令碼攻擊。

• 若要協助防範擅用 SQL 陳述式，請勿使用字串串連建立 SQL 查詢。而是使用參數型查詢，並指派使用者輸入至參數物件。如需詳細資訊，請參閱資料配接器命令中的參數。

• 一定要使用一組預期的值和字串格式化/型別驗證來驗證表單輸入。例如，如果特定表單變數必須是整數，請使用 Int32..::.TryParse 方法驗證該值確實是整數，並使用範圍檢查確保該值在可接受的範圍內。

工作

概念