Welche Sicherheitsmaßnahmen verhindern SQL-Injektionen in einer Webanwendung?

Um SQL-Injection in Webanwendungen zu verhindern, werden folgende Sicherheitsmaßnahmen ergriffen:

• Verwendung von parametrisierten Abfragen (prepared statements), bei denen die Parameter getrennt vom SQL-Code übergeben werden.
• Einsatz von ORM (Object-Relational Mapping)-Bibliotheken, die Daten automatisch escapen.
• Validierung und Filterung der Benutzereingaben auf Serverseite.
• Beschränkung der Zugriffsrechte auf die Datenbank, um den Schaden bei einem möglichen Angriff zu minimieren.

Beispiel für eine parametrisierte Abfrage in C# mit ADO.NET:

using (var connection = new SqlConnection(connectionString))
{
    connection.Open();
    var command = new SqlCommand("SELECT * FROM Users WHERE Username = @username", connection);
    command.Parameters.AddWithValue("@username", inputUsername);
    var reader = command.ExecuteReader();
    // Ergebnisverarbeitung
}