当 SP 包含动态 SQL 时，在基于 Linq 的存储过程调用中转义撇号

Question

我注意到以下情况：

正在开发的 ASP.NET MVC 网站在对包含动态 SQL 的存储过程进行 LINQ 调用时收到 SQL 错误“未闭合的引号...”。

例如：

使用具有值 [n'for] 的参数 [filter_name] 调用 SP GetEmployees 会抛出此错误

我可以通过执行 .replace("'", "''") 来解决此问题，如下所示：

[Function(Name = "dbo.GetEmployees")]
public ISingleResult<EmployeeRow> GetEmployees(
            [Parameter(DbType = "NVarChar(MAX)")] string filter_name)
{
    IExecuteResult result = this.ExecuteMethodCall(this, ((MethodInfo)(MethodInfo.GetCurrentMethod())), filter_name.Replace("'", "''"));
    return ((ISingleResult<EmployeeRow>)(result.ReturnValue));
}

现在，我不'不想遍历我所有的 SP 并手动执行此操作。 有没有一种方法可以使其成为适用于我现在和将来进行的所有 Linq SP 调用的一般规则？

另外，我还应该转义其他内容来防止 SQL 注入攻击吗？

编辑：

添加问题：这会给不包含动态sql的SP带来问题吗？ 我的意思是，当我在数据库中添加该名称时，它会存储为 [n''for] 吗？ 我刚刚意识到这可能是这种情况，然后我无论如何都必须手动进行

Answer 1

我建议您放弃动态 SQL，因为这是问题的根源。
（我知道这可能会导致很多其他问题，而且可能是不可能的。）

除非你能保证你正在构建的动态 SQL 是安全的，（所以你在内部控制这个逻辑，用户不会传递任何内容），这将是一个问题。

如果filter_name 包含\' 或-- 会发生什么？

Answer 2

我将在这里对我自己的问题给出（可能的）答案。 （如果您同意，请在评论中告诉我）

这应该在 SP 内部处理似乎更正确。
应用程序不应该担心某个SP是否包含动态sql。