C# 如何从字符串中获取安全字符串

在C#中，处理字符串时，我们有时候需要从输入的字符串中获取安全字符串，以防止潜在的安全威胁，比如SQL注入或跨站脚本攻击。本文将介绍几种方法来获取安全字符串。

1. 使用参数化查询

参数化查询是一种用于执行带有参数的SQL查询语句的方法。它将查询中的参数与实际的数值或字符串值分离，并通过参数传递给数据库引擎，从而避免了SQL注入攻击。

下面是一个使用参数化查询的示例：

using System.Data.SqlClient;

string input = "'; DROP TABLE Users; --";
string connectionString = "your_connection_string";
string query = "SELECT * FROM Users WHERE username = @username";

using (SqlConnection connection = new SqlConnection(connectionString))
{
    using (SqlCommand command = new SqlCommand(query, connection))
    {
        command.Parameters.AddWithValue("@username", input);
        connection.Open();
        // 执行查询并进行相关操作
    }
}

在上面的示例中，我们使用SqlCommand对象的Parameters.AddWithValue方法将输入字符串作为参数添加到查询中。参数化查询会自动对输入进行转义或验证，从而确保输入值不会影响原始SQL查询的语意。

2. 使用HTML编码

如果你要将字符串显示在HTML页面上，特别是在动态生成HTML时，你需要对字符串进行HTML编码，以防止跨站脚本攻击。

在C#中，可以使用System.Web命名空间下的HttpUtility类来进行HTML编码：

using System.Web;

string input = "<script>alert('XSS');</script>";
string encodedInput = HttpUtility.HtmlEncode(input);

在上面的示例中，我们使用HttpUtility.HtmlEncode方法对输入字符串进行了HTML编码，将<script>alert('XSS');</script>转换为<script>alert('XSS');</script>。

3. 使用正则表达式过滤

另一种获取安全字符串的方法是使用正则表达式对输入进行过滤，删除或替换潜在的危险字符。

下面是一个使用正则表达式过滤的示例，删除输入字符串中的非数字字符：

using System.Text.RegularExpressions;

string input = "12a3b4c";
string safeInput = Regex.Replace(input, "[^0-9]", "");

在上面的示例中，我们使用Regex.Replace方法和正则表达式[^0-9]删除了输入字符串中的非数字字符，将12a3b4c转换为1234。

这些只是获取安全字符串的几种常见方法，根据具体情况和需求，你可能需要使用更多的技术来确保字符串的安全性。请根据实际需求选择适合的方法来处理字符串。