在当今数字化的时代，网络安全问题愈发凸显，其中 SQL 注入攻击是一种常见且危害极大的网络攻击手段。SQL 注入攻击通过在应用程序的输入字段中添加恶意的 SQL 代码，从而绕过应用程序的安全验证机制，非法获取、修改或删除数据库中的数据。在 .NET 环境下，为了有效防止 SQL 注入攻击，我们可以采用多层防护代码的策略，从多个层面构建安全防线。下面将详细介绍这些策略。

输入验证与过滤

输入验证是防止 SQL 注入的第一道防线。在用户输入数据进入应用程序时，我们需要对其进行严格的验证和过滤，确保输入的数据符合预期的格式和范围。在 .NET 中，可以使用正则表达式、数据注解等方式进行输入验证。

以下是一个使用正则表达式验证用户输入的示例代码：

using System;
using System.Text.RegularExpressions;

public class InputValidator
{
    public static bool IsValidUsername(string username)
    {
        string pattern = @"^[a-zA-Z0-9]+$";
        return Regex.IsMatch(username, pattern);
    }
}

在上述代码中，"IsValidUsername" 方法使用正则表达式 "^[a-zA-Z0-9]+$" 来验证用户名是否只包含字母和数字。如果输入不符合该模式，则认为输入无效。

另外，.NET 还提供了数据注解来简化输入验证。例如，在 ASP.NET Core 中，可以在模型类的属性上添加数据注解：

using System.ComponentModel.DataAnnotations;

public class UserModel
{
    [Required]
    [RegularExpression(@"^[a-zA-Z0-9]+$")]
    public string Username { get; set; }
}

在这个示例中，"[Required]" 注解表示该属性不能为空，"[RegularExpression]" 注解用于验证输入是否符合指定的正则表达式。

使用参数化查询

参数化查询是防止 SQL 注入的核心方法之一。在 .NET 中，无论是使用 ADO.NET 还是 Entity Framework 等数据访问技术，都可以使用参数化查询来确保输入的数据不会被解释为 SQL 代码的一部分。

以下是一个使用 ADO.NET 进行参数化查询的示例：

using System;
using System.Data.SqlClient;

class Program
{
    static void Main()
    {
        string connectionString = "Data Source=YOUR_SERVER;Initial Catalog=YOUR_DATABASE;User ID=YOUR_USER;Password=YOUR_PASSWORD";
        string username = "testuser";
        string query = "SELECT * FROM Users WHERE Username = @Username";

        using (SqlConnection connection = new SqlConnection(connectionString))
        {
            SqlCommand command = new SqlCommand(query, connection);
            command.Parameters.AddWithValue("@Username", username);

            try
            {
                connection.Open();
                SqlDataReader reader = command.ExecuteReader();
                while (reader.Read())
                {
                    // 处理查询结果
                }
                reader.Close();
            }
            catch (Exception ex)
            {
                Console.WriteLine("Error: " + ex.Message);
            }
        }
    }
}

在上述代码中，我们使用 "@Username" 作为参数占位符，并通过 "command.Parameters.AddWithValue" 方法为参数赋值。这样，无论用户输入什么内容，都不会影响 SQL 语句的结构，从而有效防止了 SQL 注入攻击。

如果使用 Entity Framework，参数化查询会更加简单。例如：

using System.Linq;
using YourNamespace.Models;

public class UserRepository
{
    public User GetUserByUsername(string username)
    {
        using (var context = new YourDbContext())
        {
            return context.Users.FirstOrDefault(u => u.Username == username);
        }
    }
}

在这个示例中，Entity Framework 会自动处理参数化查询，确保输入的 "username" 不会导致 SQL 注入。

存储过程的使用

存储过程是一种预编译的数据库对象，它可以封装 SQL 逻辑并接受参数。在 .NET 中使用存储过程可以进一步增强安全性，因为存储过程的 SQL 代码已经在数据库中进行了编译，输入的数据只能作为参数传递，而不会影响 SQL 语句的结构。

以下是一个使用 ADO.NET 调用存储过程的示例：

using System;
using System.Data.SqlClient;

class Program
{
    static void Main()
    {
        string connectionString = "Data Source=YOUR_SERVER;Initial Catalog=YOUR_DATABASE;User ID=YOUR_USER;Password=YOUR_PASSWORD";
        string username = "testuser";

        using (SqlConnection connection = new SqlConnection(connectionString))
        {
            SqlCommand command = new SqlCommand("GetUserByUsername", connection);
            command.CommandType = System.Data.CommandType.StoredProcedure;
            command.Parameters.AddWithValue("@Username", username);

            try
            {
                connection.Open();
                SqlDataReader reader = command.ExecuteReader();
                while (reader.Read())
                {
                    // 处理查询结果
                }
                reader.Close();
            }
            catch (Exception ex)
            {
                Console.WriteLine("Error: " + ex.Message);
            }
        }
    }
}

在上述代码中，我们通过 "SqlCommand" 的 "CommandType" 属性指定要执行的是存储过程，并为存储过程的参数赋值。这样可以有效防止 SQL 注入攻击。

输出编码

除了对输入进行验证和过滤，对输出进行编码也是防止 SQL 注入的重要环节。当将数据输出到网页或其他外部系统时，需要对数据进行编码，确保特殊字符不会被解释为 SQL 代码。

在 .NET 中，可以使用 "HttpUtility.HtmlEncode" 方法对输出进行 HTML 编码。例如：

using System.Web;

string output = "Some <script>alert('XSS')</script> data";
string encodedOutput = HttpUtility.HtmlEncode(output);

在这个示例中，"HttpUtility.HtmlEncode" 方法将特殊字符转换为 HTML 实体，从而防止恶意脚本的执行。

数据库权限管理

合理的数据库权限管理也是多层防护的重要组成部分。在 .NET 应用程序连接数据库时，应该为应用程序分配最小必要的权限。例如，只授予应用程序执行特定查询和操作的权限，而不是给予过高的权限。

在 SQL Server 中，可以通过创建不同的用户角色并为其分配相应的权限来实现。例如：

-- 创建一个新用户
CREATE LOGIN AppUser WITH PASSWORD = 'YourPassword';
CREATE USER AppUser FOR LOGIN AppUser;

-- 创建一个新角色
CREATE ROLE AppRole;

-- 授予角色特定的权限
GRANT SELECT ON Users TO AppRole;

-- 将用户添加到角色中
ALTER ROLE AppRole ADD MEMBER AppUser;

在上述 SQL 代码中，我们创建了一个新用户 "AppUser" 和一个新角色 "AppRole"，并为角色授予了对 "Users" 表的 "SELECT" 权限，然后将用户添加到角色中。这样，应用程序只能执行 "SELECT" 查询，从而降低了 SQL 注入攻击的风险。

综上所述，在 .NET 环境下防止 SQL 注入需要采用多层防护代码的策略。通过输入验证与过滤、使用参数化查询、存储过程的使用、输出编码和数据库权限管理等多个层面的防护，可以有效降低 SQL 注入攻击的风险，保障应用程序和数据库的安全。