Як уникнути простих SQL-запитів у C # для SqlServer

Я використовую API, який очікує рядок SQL. Я беру введення користувача, уникаю його та передаю його API. Введення користувачем досить просте. Він запитує значення стовпців. Подобається так:

string name = userInput.Value;

Потім я будую запит SQL:

string sql = string.Format("SELECT * FROM SOME_TABLE WHERE Name = '{0}'",
                           name.replace("'", "''"));

Це досить безпечно? Якщо це не так, чи існує проста функція бібліотеки, яка робить значення стовпців безпечними:

string sql = string.Format("SELECT * FROM SOME_TABLE WHERE Name = '{0}'",
                           SqlSafeColumnValue(name));

API використовує SQLServer як базу даних.

Оскільки використання SqlParameter не є варіантом, просто замініть 'на' (це дві одинарні лапки, а не одна подвійна лапка) у рядкових літералах. Це воно.

Потенційним виборцям: перечитайте перший рядок питання. "Параметри використання" також була моєю реакцією кишечника.

EDIT: так, я знаю про атаки введення SQL. Якщо ви вважаєте, що це цитування вразливе для тих, будь-ласка, надайте діючий контрприклад. Я думаю, що це не так.

Я використовував динамічний sql (я чую, як стрілець заряджає свої гвинтівки) для функціональності пошуку, але він ламався, коли користувач шукав когось із таким прізвищем, як "O'Reilly".

Мені вдалося розібратися із робочим процесом (читайте "рубати"):

Створив скалярну функцію в sql, яка замінила одинарну лапку двома одинарними лапками, ефективно уникнувши одинарної лапки, тому
"... Прізвище ПОДОБАЄТЬСЯ"% O'Reilly% 'І ... "стає" ... Прізвище ПОДОБАЄТЬСЯ '% O''Reilly%' І ... "

Ця функція отримує виклик у sql, коли я підозрюю, що поля можуть містити одинарні лапки, тобто: ім'я, прізвище.

CREATE FUNCTION [dbo].[fnEscapeSingleQuote]
    (@StringToCheck NVARCHAR(MAX))
RETURNS NVARCHAR(MAX)
AS
BEGIN
    DECLARE @Result NVARCHAR(MAX)
    SELECT @Result = REPLACE(@StringToCheck, CHAR(39), CHAR(39) + CHAR(39))
    RETURN @Result
END

Не дуже елегантний чи ефективний, але він працює, коли ви стискаєтеся.

Можливо, ви захочете замінити "на" замість параметризації, коли потрібно вирішити проблему у великій кількості спеціальних sql за короткий час з мінімальним ризиком поломки та мінімальним тестуванням.

Використання SqlCommand та Entity Framework exec sp_executesql....

Отже, насправді є альтернатива необробленим рядкам із вашим власним шаблоном екранування, мабуть. За допомогою SqlCommand ви технічно використовуєте параметризовані запити, але обходите абстракцію ADO.Net базового коду SQL.

Отже, хоча ваш код не перешкоджає SQL Injection, остаточна відповідь - sp_executesql, а не SqlCommand.

Сказавши це, я впевнений, що існують особливі вимоги до обробки для створення рядка, захищеного від ін’єкцій SQL, який використовує sp_executesql.

див .: Як повернути значення з динамічної збереженої процедури SQL в Entity Framework?

Просто:

const string sql = "SELECT * FROM SOME_TABLE WHERE Name = @name";

і додайте @nameпараметр зі значенням:

cmd.CommandText = sql;
cmd.Parameters.AddWithValue("@name", name);

Якщо вам потрібно уникнути рядка для запиту MSSQL, спробуйте це:

System.Security.SecurityElement.Escape(Value)