Как избежать SQL-инъекции в SQL-запросе с помощью Operator с использованием параметров?

Взяв некоторый код от моего предшественника, я нашел запрос, который использует оператор Like:

SELECT * FROM поставщиков WHERE имя_продажа, например '%' + name +% ';

Попытка избежать проблемы с внедрением SQL и параметризовать это, но я не совсем уверен, как это будет достигнуто. Любые предложения?

Заметьте, мне нужно решение для классического ADO.NET - у меня нет надобности переключать этот код на что-то вроде LINQ.

Ответ 1

попробуйте следующее:

var query = "select * from foo where name like @searchterm";
using (var command = new SqlCommand(query, connection))
{
  command.Parameters.AddWithValue("@searchterm", String.Format("%{0}%", searchTerm));
  var result = command.ExecuteReader();
}

структура автоматически будет обрабатывать проблемы с цитированием.

Ответ 2

Просто параметризуйте свой запрос:

SELECT * FROM suppliers WHERE supplier_name like '%' + @name + '%'

Теперь вы можете передать свою переменную "имя" в параметр @name, и запрос будет выполняться без какой-либо опасности инъекционных атак. Даже если вы передадите что-то вроде "ИЛИ истинно", это будет работать нормально.

Ответ 3

В Entity Framework 6 это можно сделать с помощью Native SQL:

List<Person> peopleList = contex.People.SqlQuery(
    @"SELECT * FROM [Person].[Person]
       WHERE [FirstName] LIKE N'%' + @p0 + '%' ", "ab").ToList();

или

List<Person> peopleList = contex.People.SqlQuery(
    @"SELECT * FROM [Person].[Person]
       WHERE [FirstName] LIKE N'%' + @name + '%' ",
    new SqlParameter("@name", "ab")).ToList();

Кроме того, вы можете напрямую использовать LINQ to Entities:

List<Person> peopleList1 = contex.People.Where(s => s.FirstName.Contains("ab")).ToList();

Ответ 4

Short Anwser:

1) name.Replace( "'", "' '" ).... Замените любые escape-символы, которые могут иметь ваши базы данных (одинарные кавычки являются наиболее распространенными)

2), если вы используете такой язык, как .net use Parameterized Queries

sql="Insert into Employees (Firstname, Lastname, City, State, Zip, Phone, Email) Values ('" & frmFirstname.text & "', '" & frmLastName & "', '" & frmCity & "', '" & frmState & "', '" & frmZip & "', '" & frmPhone & "', '" & frmEmail & "')"

Приведенное выше заменяется ниже

Dim MySQL as string = "Insert into NewEmp (fname, LName, Address, City, State, Postalcode, Phone, Email) Values (@Firstname, @LastName, @Address, @City, @State, @Postalcode, @Phone, @Email)" 

With cmd.Parameters:
    .Add(New SQLParameter("@Firstname", frmFname.text))
    .Add(New SQLParameter("@LastName", frmLname.text))
    .Add(New SQLParameter("@Address", frmAddress.text))
    .Add(New SQLParameter("@City", frmCity.text))
    .Add(New SQLParameter("@state", frmState.text))
    .Add(New SQLParameter("@Postalcode", frmPostalCode.Text))
    .Add(New SQLParameter("@Phone", frmPhone.text))
    .Add(New SQLParameter("@email", frmemail.text))
end with

3) пользователь Сохраненные процедуры

4) используйте Linq для SQL, снова, если вы используете .net