IQueryable LINQ 提供程序和 SQL 注入？

Question

我正在开发一个 LINQ 提供程序，它使用 IQ Toolkit 将 LINQ 查询转换为 SQL 查询。 IQ Toolkit 提供的类是否可以免受 SQL 注入攻击？如果没有，假设我正在使用 IQ Toolkit 并实现我自己的 LINQ 提供程序，我必须采取哪些措施来防止 SQL 注入攻击。我阅读了 LINQ to SQL 使用 SqlParameter， 但我仍然不清楚需要使用 SqlParameter 做什么来防止 SQL 注入。

Answer 1

来自博客 post 看起来 IQ 工具包（或工具包的初始版本）无法免受 SQL 注入攻击。但您可以自己验证 - 执行查询，捕获生成的 SQL 并查看是否使用了参数。

Answer 2

如果你想建立自己的提供商，你必须知道这并不是那么容易。考虑诸如嵌套选择、嵌套位置等。有很棒的 关于此主题的博客文章。

但您有兴趣保护您的数据库免受 SQL 注入。因此，如果您查看此 page 和 VisitConstant 方法，这是您遇到值类型常量（字符串、整数等）或I可查询。

防止 SQL 注入并不复杂，您只需创建新的 SQLParameter 或调用 此处。在遍历表达式树时，您将需要一些集合来存储参数。因此，修改后的代码将如下所示：

protected override Expression VisitConstant(ConstantExpression c) {
    IQueryable q = c.Value as IQueryable;
    if (q != null) {
        // assume constant nodes w/ IQueryables are table references
        sb.Append("SELECT * FROM ");
        sb.Append(q.ElementType.Name);
    }
    else if (c.Value == null) {
        sb.Append("NULL");
    }
    else {
        switch (Type.GetTypeCode(c.Value.GetType())) {
            case TypeCode.Boolean:
                param = dbProvider.CreateParameter();
                param.Name = "@param" + paramsList.Count;
                param.Value = (((bool)c.Value) ? 1 : 0;
                paramsList.Add(param);
                sb.Append(param.Name);
                break;
            case TypeCode.String:
                param = dbProvider.CreateParameter();
                param.Name = "@param" + paramsList.Count;
                param.Value = c.Value; // you don't have to care about escaping or formatting
                paramsList.Add(param);
                sb.Append(param.Name);
                break;
            ...
            case TypeCode.Object:
                throw new NotSupportedException(string.Format("The constant for '{0}' is not supported", c.Value));
            default:
                sb.Append(c.Value);
                break;
        }
    }
    return c;
}

因此，当您遍历表达式树时，您正在构建 SQL 字符串并收集 SQL 参数。