面试题：Visual Basic安全编码之处理外部输入

SQL注入防范

输入验证与过滤：

验证输入格式，比如对于数字类型的输入，确保输入的是合法数字，使用IsNumeric函数。例如，如果输入应该是订单编号（假设为数字）：

Dim input As String
input = TextBox1.Text
If IsNumeric(input) Then
    '可以安全地使用该输入进行数据库操作
    Dim orderId As Integer
    orderId = CInt(input)
Else
    '提示用户输入错误
    MsgBox "请输入合法的数字订单编号"
End If

避免直接拼接SQL语句，使用参数化查询。例如，使用ADODB.Command对象：

Dim conn As New ADODB.Connection
Dim cmd As New ADODB.Command
Dim input As String
input = TextBox1.Text
conn.ConnectionString = "your_connection_string"
conn.Open
cmd.ActiveConnection = conn
cmd.CommandText = "SELECT * FROM Orders WHERE OrderNumber =?"
cmd.Parameters.Append cmd.CreateParameter("param1", adVarChar, adParamInput, Len(input), input)
Dim rs As ADODB.Recordset
Set rs = cmd.Execute
'处理结果集
rs.Close
conn.Close

自定义函数实现：

可以创建一个函数来验证输入是否为合法数字并可安全用于SQL查询。

Function ValidateNumericInput(ByVal input As String) As Boolean
    If IsNumeric(input) Then
        ValidateNumericInput = True
    Else
        ValidateNumericInput = False
    End If
End Function

在主程序中调用该函数：

Dim input As String
input = TextBox1.Text
If ValidateNumericInput(input) Then
    '进行数据库操作
Else
    MsgBox "输入不合法"
End If

命令注入防范

输入验证与过滤：

限制输入字符集，只允许特定的合法字符。比如如果输入是文件名，只允许字母、数字、下划线和点。可以使用正则表达式进行验证。首先需要引用Microsoft VBScript Regular Expressions库。

Dim input As String
input = TextBox1.Text
Dim regEx As New RegExp
regEx.Pattern = "^[a-zA-Z0-9_.]+$"
If regEx.Test(input) Then
    '输入合法，可进行相关操作
Else
    MsgBox "输入包含非法字符"
End If

避免使用用户输入直接构建命令行。如果要执行外部命令，使用安全的方式。例如，在执行ping命令时，使用System.Diagnostics.Process类（在VB.NET中，VB6可通过Shell函数结合安全输入实现类似功能）。在VB.NET中：

Dim ipAddress As String
ipAddress = TextBox1.Text
Dim startInfo As New System.Diagnostics.ProcessStartInfo
startInfo.FileName = "ping"
startInfo.Arguments = ipAddress
startInfo.RedirectStandardOutput = True
startInfo.UseShellExecute = False
Dim process As System.Diagnostics.Process = System.Diagnostics.Process.Start(startInfo)
Dim output As String = process.StandardOutput.ReadToEnd
process.WaitForExit()
'处理输出

自定义函数实现：

创建一个函数验证文件名格式：

Function ValidateFileName(ByVal input As String) As Boolean
    Dim regEx As New RegExp
    regEx.Pattern = "^[a-zA-Z0-9_.]+$"
    If regEx.Test(input) Then
        ValidateFileName = True
    Else
        ValidateFileName = False
    End If
End Function

在主程序中调用：

Dim input As String
input = TextBox1.Text
If ValidateFileName(input) Then
    '进行文件相关操作
Else
    MsgBox "文件名不合法"
End If

XSS防范

输入验证与过滤：

对输入进行HTML编码，去除或转义特殊字符。在VB.NET中，可以使用HttpUtility.HtmlEncode（需要引用System.Web库）。在VB6中，可以自定义函数实现类似功能。例如，自定义一个简单的转义函数：

Function HtmlEncode(ByVal input As String) As String
    input = Replace(input, "<", "&lt;")
    input = Replace(input, ">", "&gt;")
    input = Replace(input, "&", "&amp;")
    input = Replace(input, Chr(34), "&quot;")
    HtmlEncode = input
End Function

验证输入是否包含恶意脚本标签，使用正则表达式。引用Microsoft VBScript Regular Expressions库：

Dim input As String
input = TextBox1.Text
Dim regEx As New RegExp
regEx.Pattern = "<script.*?>.*?</script>"
If regEx.Test(input) Then
    MsgBox "输入包含恶意脚本"
Else
    '对输入进行编码
    Dim encodedInput As String
    encodedInput = HtmlEncode(input)
    '可以安全显示该输入
End If

框架特性实现：
- 在ASP.NET（基于VB.NET）中，启用请求验证，它会自动检测并阻止潜在的XSS攻击。在Web.config文件中：
```
<system.web>
    <pages validateRequest="true" />
</system.web>
```
- 在VB6开发的Web应用中（如果有），可以结合前面自定义的编码函数在输出时对用户输入进行处理，确保在HTML页面中安全显示。

面试题：Visual Basic安全编码之处理外部输入

知识考点

面试题答案

SQL注入防范

命令注入防范

XSS防范