は、正規表現は、SQLインジェクションに

Question

を防ぐために使用することができます私は^201[0-9]Q[0-9]$の正規表現をSQLに渡されたパラメータに対して実行します。

これで保護すれば十分ですか、とにかく正規表現を悪用できますか？いくつかの擬似コード：

if NOT validateToken(quarter) then 
    sql = "EXEC dbo.spTest '"&quarter&"'" 
end if 

おかげで、あなたのケースで

Answer 1

、はい、チェックがSQLインジェクションを防ぐのに十分です。 入力したチェックの種類は、ユーザーの入力を処理する際に必要なチェックの種類です。

大まかには、ユーザーが提供するデータとSQLコードを連結することはできません。つまり、パラメータの内容について包括的なチェックをしない限りはありません。

WAIT！ .NetまたはSQLのパラメータをチェックしていますか？ .Netの場合、あなたは安全です。 安全でないコードがSQLに到達すると、あなたは嫌になります。