Prevenir Inyección SQL Mediante Parametrización

La aplicación esta construida en ASP.NET versión 1.1, 2.0 o superior.

Se utiliza la versión del .NET Framework 1.0,1.1 o superior.

La aplicación requiere conectarse a una base de datos para realizar operaciones de select, update y delete.

El uso de parámetros como SqlParameterCollection asegura que los valores de entrada sean verificados por tipo de datos, tamaño y valores fuera del rango permitido, generando una excepción en el caso en que no se cumplan. Además los parámetros son tratados como valores literales y no como código ejecutable en la base de datos ^[1]. En el siguiente código se muestra como usar SqlParameterCollection cuando se invoca a un procedimiento almacenado llamado LoginStoredProcedure, el cual acepta como entrada el parámetro @au_id tipo varchar(11):

using System.Data;
using System.Data.SqlClient;
...
using (SqlConnection connection = new SqlConnection(connectionString))
{
  DataSet userDataset = new DataSet();
  SqlDataAdapter myCommand = new SqlDataAdapter( "LoginStoredProcedure", connection);
  myCommand.SelectCommand.CommandType = CommandType.StoredProcedure;
  myCommand.SelectCommand.Parameters.Add("@au_id", SqlDbType.VarChar, 11);
  myCommand.SelectCommand.Parameters["@au_id"].Value = SSN.Text;

  myCommand.Fill(userDataset);
}
...

En el código anterior, el valor de entrada no puede tener más de 11 caracteres. Si los datos no cumplen el tipo o la longitud que el parámetro tiene definido, la clase SqlParameter generará una excepción. Si no puede utilizar procedimientos almacenados, siga utilizando parámetros cuando construya instrucciones SQL dinámicas. Con el siguiente código se muestra cómo utilizar SqlParameterCollection con SQL dinámico ^[2].

using System.Data;
using System.Data.SqlClient;
...
using (SqlConnection connection = new SqlConnection(connectionString))
{
  DataSet userDataset = new DataSet();
  SqlDataAdapter myDataAdapter = new SqlDataAdapter(
         "SELECT au_lname, au_fname FROM Authors WHERE au_id = @au_id",
         connection);
  myCommand.SelectCommand.Parameters.Add("@au_id", SqlDbType.VarChar, 11);
  myCommand.SelectCommand.Parameters["@au_id"].Value = SSN.Text;
  myDataAdapter.Fill(userDataset);
}
...

Cómo: Proteger ASP.NET de inyecciones SQL

Microsoft, Security Practices: ASP.NET at a Glance