asp.net – 这个LINQ statment是否容易受SQL注入攻击？

发布时间：2020-12-15 20:14:58 所属栏目：asp.Net 来源：网络整理

导读：这个LINQ数据库是否易受SQL注入攻击？ var result = from b in context.tests where b.id == inputTextBox.Text select b; 其中上下文是实体,测试是一个表. 我试图学习LINQ,我认为它的好处是它不容易受到sql注入的影响,但是我看到的一些东西的表现也有所不同

这个LINQ数据库是否易受SQL注入攻击？

var result = from b in context.tests
    where b.id == inputTextBox.Text
    select b;

其中上下文是实体,测试是一个表.
我试图学习LINQ,我认为它的好处是它不容易受到sql注入的影响,但是我看到的一些东西的表现也有所不同.我需要参数化这个LINQ语句以使其更安全吗？如果是,怎么办？

也可以这样将linq作为linq到sql或linq的实体？

解决方法

简短的回答：LINQ不易受SQL注入攻击.

长答案：

LINQ不像SQL.幕后有一个完整的库,从编译器从代码生成的表达式树构建SQL,将结果映射到对象 – 当然,它会在事情上保证安全.

见LINQ to SQL FAQ：

Q. How is LINQ to SQL protected from
SQL-injection attacks?

A. SQL injection has been a significant risk for traditional SQL
queries formed by concatenating user
input. LINQ to SQL avoids such
injection by using SqlParameter in
queries. User input is turned into
parameter values. This approach
prevents malicious commands from being
used from customer input.

在内部,这意味着当LINQ to SQL查询数据库时,而不是使用纯值,它将它们作为SQL参数传递,这意味着它们不能被数据库视为可执行代码.大多数(如果不是全部)ORM映射器也是如此.

比较这两种方法(完全伪代码)：

string name = "' ; DROP DATABASE master  --"
run ("SELECT * FROM Authors WHERE Name = '" + name + "'") // oops!

// now we'd better use parameters
SqlParameter name = new SqlParameter ("@name","' ; DROP DATABASE master  --")
run ("SELECT * FROM Authors WHERE Name = @name",name) // this is pretty safe

我建议您更深入地了解LINQ语句的实际意义,何时以及如何将其转化为真正的SQL.您可能想了解LINQ standard query operator translation,deferred execution,different LINQ providers等.在LINQ的情况下,就像任何抽象技术一样,知道幕后发生的事情非常有用.

附：每次我看到有关SQL注入的问题,我不禁要记住这个webcomic.

（编辑：李大同）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!