参数化查询/不使用/使用查询

Question

我这里的情况有点糟糕。我一直在使用商务服务器，它没有进行大量的清理/参数化。

我正在尝试构建查询以防止 SQL 注入，但是需要构建搜索对象上的搜索/where 子句等一些内容，并且没有参数化接口。

基本上，我无法参数化，但是如果可能的话，我希望能够使用相同的引擎来构建我的查询文本。除了编写我自己的参数化引擎（它可能仍然不如参数化查询）之外，还有其他方法可以做到这一点吗？

更新：示例

where 子句本质上必须构建为 sql 查询 where 子句：

CatalogSearch search =  /// Create Search object from commerce server
search.WhereClause = string.Format("[cy_list_price] > {0} AND [Hide] is not NULL AND [DateOfIntroduction] BETWEEN '{1}' AND '{2}'", 12.99m, DateTime.Now.AddDays(-2), DateTime.Now);

*上面的示例是如何优化搜索，但是我们已经做了一些测试，该字符串是 未消毒。。

这就是我的问题所在，因为 .Format 中的任何输入都可能是用户输入，虽然我可以轻松地清理文本框中的输入，但我会错过边缘情况，这只是事物的本质。我在这里没有使用参数化查询的选项，因为 Commerce Server 在如何处理可扩展字段集（架构）和查询方面有一些疯狂的向后逻辑。自由文本搜索词已在某处预编译。 这意味着我无法直接访问 sql 表

我/喜欢/看到的是以下内容：

SqlCommand cmd = new SqlCommand("[cy_list_price] > @MinPrice AND [DateOfIntroduction] BETWEEN @StartDate AND @EndDate");
cmd.Parameters.AddWithValue("@MinPrice", 12.99m);
cmd.Parameters.AddWithValue("@StartDate", DateTime.Now.AddDays(-2));
cmd.Parameters.AddWithValue("@EndDate", DateTime.Now);

CatalogSearch search = /// constructor
search.WhereClause = cmd.ToSqlString();

Answer 1

听起来您必须在构建查询之前亲自验证数据。我不是 .NET 人员，但在 CGI 世界中，我会使用以下内容来清理输入：

$foo =~ s/[^a-zA-Z0-9*%]//g

这将阻止我能想到的任何 SQL 注入，并且仍然允许使用通配符。唯一的问题是正则表达式很昂贵。