修改一下，防止 SQL 注入攻击

为了防止 SQL 注入攻击，可以使用参数化查询方式来构造 SQL 语句。例如，使用 Python 中的 SQLite3 模块，可以如下编写代码：

import sqlite3

conn = sqlite3.connect('example.db')
c = conn.cursor()

vendor_name = input("请输入供应商名称：")

c.execute("SELECT * FROM vendor WHERE vendor_name LIKE ?", ('%' + vendor_name + '%',))
rows = c.fetchall()

for row in rows:
    print(row)

conn.close()

这里使用了参数化查询方式，将通配符 % 放在参数值中，而不是将参数值直接拼接到 SQL 语句中。这样可以避免 SQL 注入攻击。

相关问题

如何防止SQL注入攻击？

防止SQL注入攻击是确保应用程序安全的重要措施之一。以下是一些常见的防止SQL注入攻击的方法：

1. **使用预编译语句（Prepared Statements）**：
预编译语句可以确保SQL语句的结构和参数是分开的，防止恶意用户通过参数注入SQL代码。

   String query = "SELECT * FROM users WHERE username = ? AND password = ?";
   PreparedStatement pstmt = connection.prepareStatement(query);
   pstmt.setString(1, username);
   pstmt.setString(2, password);
   ResultSet rs = pstmt.executeQuery();

2. **使用存储过程（Stored Procedures）**：
存储过程是存储在数据库中的一组SQL语句，应用程序可以通过调用存储过程来执行操作。存储过程可以减少SQL注入的风险，因为它们也使用了参数化查询。

   CREATE PROCEDURE GetUser(IN username VARCHAR(50), IN password VARCHAR(50))
   BEGIN
       SELECT * FROM users WHERE username = username AND password = password;
   END;

3. **输入验证和清理（Input Validation and Sanitization）**：
对用户输入进行严格的验证和清理，确保输入的数据符合预期格式。例如，使用正则表达式验证电子邮件地址、用户名等。

   if (username.matches("[a-zA-Z0-9_]+")) {
       // 继续处理
   } else {
       // 输入无效
   }

4. **最小权限原则（Principle of Least Privilege）**：
数据库用户应该只拥有执行其任务所需的最小权限。例如，应用程序的用户不应该有权限修改数据库结构或执行管理操作。

5. **使用ORM框架（Object-Relational Mapping Frameworks）**：
许多ORM框架（如Hibernate、Entity Framework）默认使用参数化查询，减少了SQL注入的风险。

6. **错误信息处理（Error Handling）**：
避免将详细的数据库错误信息返回给用户。详细的错误信息可能会被攻击者利用来进一步攻击系统。

7. **定期安全审计和更新（Regular Security Audits and Updates）**：
定期进行安全审计，确保应用程序和数据库的安全性，并及时应用安全补丁和更新。

如何在 C# 中防止 SQL 注入攻击？

在 C# 中防止 SQL 注入攻击非常重要，因为 SQL 注入是一种常见的安全漏洞，攻击者可以通过构造恶意 SQL 语句来获取、修改或删除数据库中的数据。以下是一些防止 SQL 注入的方法：

1. 使用参数化查询（Parameterized Queries）：
使用 `SqlCommand` 的 `Parameters` 属性，所有的输入都作为参数传递，而不是直接拼接到 SQL 语句中。例如：

string searchTerm = "John Doe";
using (SqlConnection connection = new SqlConnection(connectionString))
{
    string query = "SELECT * FROM Users WHERE Username LIKE @searchTerm";
    SqlCommand command = new SqlCommand(query, connection);
    command.Parameters.AddWithValue("@searchTerm", "%" + searchTerm + "%");
    connection.Open();
    SqlDataReader reader = command.ExecuteReader();
}

2. 验证和转义用户输入：
对用户提交的数据进行适当的验证和清理，确保它们只包含预期的字符。使用 `SqlFunctions` 或 `Regex` 进行特殊字符的替换。

3. 使用 ORM 框架（如 Entity Framework or Dapper）：
ORM 可以自动处理参数化查询，减少了手动编写 SQL 的需求，从而降低了注入风险。

4. 不要使用字符串连接构建 SQL 语句：
尽量避免使用 `+` 运算符连接字符串，即使使用了 `StringBuilder` 或 `String.Format`，也要确保参数正确。

5. 使用存储过程（StoredProcedure）：
如果可能，使用存储过程执行敏感操作，这些过程通常在服务器端定义并受到更严格的权限控制。

6. 最小权限原则：
为数据库连接设置最小权限，确保攻击者即使成功注入也无法执行超出他们权限的操作。