创建用户表

用户表(UserT)字段:用户编号(UId)用户名(UName)密码(UPwd)错误次数(UErrorTimes)最后登陆时间(LastEroTime)

--创建用户表
--User 是数据库中的全局变量名,因此不能使用(本版本)
CREATE TABLE UserT
(
 UId INT IDENTITY(1,1)PRIMARY KEY,
 UName VARCHAR(16),
 UPwd VARCHAR(48) DEFAULT(123),
 UErrorTimes INT DEFAULT(0),
 LastEroTime DATETIME 
)
--插入数据
INSERT INTO UserT(UName,LastEroTime) 
SELECT '张三','2023-9-1' UNION
SELECT '李四','2023-9-1'UNION
SELECT '王五','2023-9-1' 
--查询数据
SELECT * FROM UserT

为用户名设置唯一约束,防止用户名重名,登陆中需要通过用户名与密码进行验证

用户登陆

用户登陆是否成功的SQL语句是通过用户名/密码/聚合函数count(*)进行验证,可使用执行对象的ExecuteScalar()方法,如果返回值大于0(其实是等于1),表示登陆成功,反之登陆失败

--在数据库的查询窗口中编写验证语句
--查询数据
SELECT * FROM UserT
--验证登陆的SQL语句
SELECT COUNT(*) FROM UserT WHERE UName='张三'and UPwd='123'
--符合C#规则的SQL语句
SELECT COUNT(*) FROM UserT WHERE UName='{0}'and UPwd='{1}'

//登陆按钮的单击事件
private void btnLogin_Click(object sender, EventArgs e)
{
    //检测两个文本框不为能空(自己编写)检测通过才能执行下面的代码

    //连接字符串(导出导入共用)
    string constr = "Data Source=.;Initial Catalog=School;Integrated Security=True";
    using (SqlConnection con = new SqlConnection(constr))
    {
        //验证的SQL语句
        string sql = string.Format("SELECT COUNT(*) FROM UserT WHERE UName='{0}'and UPwd='{1}'", txtName.Text.Trim(), txtPwd.Text);
        using (SqlCommand cmd = new SqlCommand(sql, con))
        {
            if (con.State == ConnectionState.Closed)
            {
                con.Open();
            }
            int r = Convert.ToInt32(cmd.ExecuteScalar());
            if (r > 0)
            {
                MessageBox.Show("登陆成功");
            }
            else
            {
                MessageBox.Show("登陆失败");
            }
        }
    }
}

SQL 参数注入攻击

SQL注入是一种漏洞,它允许恶意用户以意想不到的方式访问数据库,最终达到欺骗服务器执行恶意的SQL命令,本示例的SQL攻击基于上面用户登陆验证拼接的SQL语句,它攻击数据库的方式是参数注入攻击

防止SQL注入攻击的措施：

1) 对用户输入的内容进行校验 2) 少使用动态拼接 SQL 语句 3) 过滤关键字,如：单引号 4) 参数化的SQL语句

上图所示:密码明显错误还能登陆成功的原因在于其拼接后的SQL语句,在接收参数时被进行了注入攻击

通过设置断点,通过VS调试,查看要执行的SQL语句

第一个输入的参数: 张三' or 1=1 --
第二个输入的参数:mnbnmnk
--查看验证登陆最终的语句
SELECT COUNT(*) FROM UserT 
WHERE UName='张三' or 1=1--'and UPwd='mnbnmnk'
--密码不对还能登陆成功的原因在于
第一个参数:UName='张三' or 1=1-- :
表示不论UName是否正确,1=1正确第一个条件成立
--两个横岗将后面的条件注释掉了
--'and UPwd='mnbnmnk' 
因此不管UPwd等于什么都可以

因此最终执行的SQL变为
WHERE UName='张三' or 1=1,执行结构就是3条数据      

参数化SQL语句

上面通过字符串拼接的SQL参数语句很容易被注入攻击,为防止被恶意的参数注入攻击的方法:就是不使用字符串的SQL语句拼接而是通过参数化对SQL语句进行赋值,C#中参数化SQL语句参数使用@进行标记(相当于数据库中的变量)使用SqlParameter类的方法进行赋值

//登陆按钮的单击事件中代码
string constr = "Data Source=.;Initial Catalog=School;Integrated Security=True";
using (SqlConnection con = new SqlConnection(constr))
{
    //编写参数化的SQL语句
    //以@开头,参数名可以与列名相同,但是两个参数不能相同
    string sql = "SELECT COUNT(*) FROM UserT WHERE UName=@uname and UPwd=@pwd";
    //通过VS调试得到的SQL语句
    //SELECT COUNT(*) FROM UserT WHERE UName=@uname and UPwd=@pwd
   
    //为两个参数进行赋值(赋值的方式之一)
    //声明一个SqlParameter类型的数组
    //通过集合初始化器赋值
    SqlParameter[] pms ={
                            //这里的参数名必须与SQL语句中的相同,否则报异常
                            new SqlParameter("@uname",txtName.Text.Trim()),
                            new SqlParameter("@pwd",txtPwd.Text)
                        };  //分号不能省略
    using (SqlCommand cmd = new SqlCommand(sql, con))
    {
        if (con.State == ConnectionState.Closed)
        {
            con.Open();
        }
        //执行前将参数传入cmd中
        cmd.Parameters.AddRange(pms);
        int r = Convert.ToInt32(cmd.ExecuteScalar());
        if (r > 0)
        {
            MessageBox.Show("登陆成功");
        }
        else
        {
            MessageBox.Show("登陆失败");
        }
    }
}

SQL语句中列名必须与数据库表中列名相同(不区分大小写),对列名赋值的参数名自己随便起(也可以与列名一样),但是为参数赋值时,说过参数化SQL语句,以后SQL语句都会使用这种语句防止参数注入攻击

注意:参数名必须与SQL语句中对应的参数名一致,两个参数名不能相同,

可通过数据库的菜单"工具"一>"SQLServer ProFiler"命令,在打开的窗口,通过其事件探查器查看最终执行的SQL语句,参数化的SQL语句在SQLServer内部就不再是简单的字符串替换而是用添加的值进行数据比较(开启探查器后会监视用户在数据库中操作的记录信息)

--最终要执行的参数化SQL语句
exec sp_executesql N'SELECT COUNT(*) FROM UserT WHERE UName=@uname and UPwd=@pwd',N'@uname nvarchar(13),@pwd nvarchar(3)',@uname=N'zs'' or 1=1 --',@pwd=N'123'
--将整个SQL语句放置在存储过程中
--两个参数相当于两个变量(之后再说)
--上面的SQL语句含义相当于下面SQL语句
DECLARE @name VARCHAR(10)
DECLARE @pwd VARCHAR(10)
--错误赋值
SELECT @name=N'zs'' or 1=1 --',@pwd=N'123'
SELECT COUNT(*) AS '错误赋值' FROM dbo.UserT
WHERE UName=@name AND UPwd=@pwd
--正确赋值
SELECT @name=N'张三',@pwd=N'123'
SELECT COUNT(*) AS '正确赋值' FROM dbo.UserT
WHERE UName=@name AND UPwd=@pwd