EF 6 exekverar inbyggda SQL-satser, problem med parameterinjektion

Lilla avskum · Publicerad på 2023-06-14 21:14:48

Krav: Projektet använder EF ORM-ramverket för att lägga till och ta bort, ändra och kontrollera databasen, men vid komplexa frågor kan det vara omöjligt att använda Linq och Lambda för bättre frågor, så vi behöver använda EF 6 för att köra inbyggda SQL-satser för frågor.

Rå SQL-fråga (EF6):Inloggningen med hyperlänken är synlig.

Eftersom SQL-satser måste bära where-villkoret, skickas parametervärdet via URL-parametern.

Först använder vår SQL-sats strängsammansättning för att fråga, enligt följande:

Koden är följande:

Inloggningen är synlig.

Du kan se SQL-satserna som körs av databasen på följande sätt:

VÄLJ NAMN FRÅN [Klassificering] DÄR namn = 'Mobil utveckling'; Välj 1; --'

PasseraSättet SQL-satser splicas på löper risk för injektion。

Vi modifierade koden för att förhindra SQL-injektionsattacker genom att parameterisera frågor, och koden är följande:

Inloggningen är synlig.

exec sp_executesql N'VÄLJ namn FRÅN [Klassificering] DÄR namn = @n',N'@n nvarchar(17)', @n=N'Mobil Utveckling''; Välj 1; --'

Istället för att använda splicing direkt omvandlar EF Core det till parameteriserade SQL-satser. Referenser är följande:

EF Core Series (5) exekverar SQL-satser eller vyer, lagrade procedurer
https://www.itsvse.com/thread-9565-1-1.html

(Slut)

Lilla avskum · Publicerad på 2023-06-17 11:11:50

Testa SQL-injektionstestning med SQLMAP-infiltrationsverktyget
https://www.itsvse.com/thread-10611-1-1.html

Lilla avskum · Publicerad på 2023-06-30 20:47:17

Stenografiform

Inloggningen är synlig.

Lilla avskum · Publicerad på 2025-01-02 12:10:38

[Verklig strid]. NET/C# SQL-frågegenerator baserad på sqlkata
https://www.itsvse.com/thread-10370-1-1.html

[Källa] EF 6 exekverar inbyggda SQL-satser, problem med parameterinjektion

Relaterade inlägg

Avsnitt som ses