ADO.NET連接字符串還是比較常用的，于是我研究了一下ADO.NET連接字符串生成器，在這里拿出來和大家分享一下，希望對(duì)大家有用。在 ADO.NET 的早期版本中，不會(huì)對(duì)具有串聯(lián)字符串值的連接字符串進(jìn)行編譯時(shí)檢查，因此在運(yùn)行時(shí)，不正確的關(guān)鍵字會(huì)產(chǎn)生 ArgumentException。每個(gè) .NET Framework 數(shù)據(jù)提供程序支持的連接字符串關(guān)鍵字的語法不同，這使得手動(dòng)構(gòu)造有效連接字符串變得很困難。為了解決這個(gè)問題，ADO.NET 2.0 為每個(gè) .NET Framework 數(shù)據(jù)提供程序引入了新的連接字符串生成器。每個(gè)數(shù)據(jù)提供程序包括一個(gè)從 DbConnectionStringBuilder 繼承的強(qiáng)類型連接字符串生成器類。下表列出了 .NET Framework 數(shù)據(jù)提供程序及其關(guān)聯(lián)的ADO.NET連接字符串生成器類。

ConnectionStringBuilder 類  
System.Data.SqlClient  
SqlConnectionStringBuilder  
System.Data.OleDb  
OleDbConnectionStringBuilder  
System.Data.Odbc  
OdbcConnectionStringBuilder  
System.Data.OracleClient  
OracleConnectionStringBuilder 

連接字符串注入式攻擊

#T#當(dāng)使用動(dòng)態(tài)字符串串聯(lián)根據(jù)用戶輸入生成連接字符串時(shí)，可能發(fā)生連接字符串注入式攻擊。如果未驗(yàn)證字符串并且未轉(zhuǎn)義惡意文本或字符，則攻擊者可能會(huì)訪問服務(wù)器上的敏感數(shù)據(jù)或其他資源。例如，攻擊者可以通過提供分號(hào)并追加其他值來發(fā)起攻擊。連接字符串通過“l(fā)ast one wins”算法分析，惡意的輸入被替換為合法的值。連接字符串生成器類旨在排除推測，防止出現(xiàn)語法錯(cuò)誤和安全漏洞。它們提供與每個(gè)數(shù)據(jù)提供程序允許的已知鍵/值對(duì)相對(duì)應(yīng)的方法和屬性。每個(gè)類都保持一個(gè)固定的同義詞集合，可以將同義詞轉(zhuǎn)換為相應(yīng)的已知鍵名。將執(zhí)行鍵/值對(duì)的有效性檢查，無效對(duì)會(huì)引發(fā)異常。此外，還會(huì)以一種安全方式處理插入的值。

下面的示例演示 SqlConnectionStringBuilder 如何處理為 Initial Catalog 設(shè)置插入的額外值。
Visual Basic

Dim builder As New System.Data.SqlClient.SqlConnectionStringBuilder  
builder("Data Source") = "(local)"  
builder("Integrated Security") = True  
builder("Initial Catalog") = "AdventureWorks;NewValue=Bad"  
Console.WriteLine(builder.ConnectionString) 

C#

System.Data.SqlClient.SqlConnectionStringBuilder builder =  
new System.Data.SqlClient.SqlConnectionStringBuilder();  
builder["Data Source"] = "(local)";  
builder["integrated Security"] = true;  
builder["Initial Catalog"] = "AdventureWorks;NewValue=Bad";  
Console.WriteLine(builder.ConnectionString); 

輸出結(jié)果表明，通過用雙引號(hào)轉(zhuǎn)義該額外值而不作為新的鍵/值對(duì)將其追加到連接字符串，SqlConnectionStringBuilder 可以正確處理此額外值。

data source=(local);Integrated Security=True;  
initial catalog="AdventureWorks;NewValue=Bad"