当我使用以下 SqlDataAdapter 时，我是否需要担心插入/更新/删除/注入攻击？

Question

当我使用以下代码时，我是否需要采取任何措施来防止插入/更新/删除/注入攻击？

public static DataSet getReportDataSet(string sqlSelectStatement)
{
    SqlDataAdapter da = new SqlDataAdapter(sqlSelectStatement, new SqlConnection(GlobalVars.ConnectionString));
    DataSet reportData = new DataSet();
    da.Fill(reportData, "reportData");
    return reportData;
}

这背后的想法是，我将从一系列 Crystal Reports 中提取 sql，从 MS SQL Server 中提取每个报告的数据，将数据绑定到报告，然后将填充的报告导出为 PDF。

我知道您可以使用内置功能让报告提取自己的数据，但我的测试表明，将数据推送到报告要快得多。我唯一的问题是我无法控制将要运行的报告。

人们将被要求提供自己的 SQL Server 登录凭据，因此他们只能查看他们有权访问的数据库中的数据...但某些用户具有写入权限，我担心盲目运行从 Crystal Report 中提取的 sql 字符串可能会导致插入/更新/删除/注入攻击...

我认为我可能没有任何担心，但我找不到任何直接说明这是否可能的内容用于选择之外的事物。

编辑：

因此，从最初的评论来看，我认为除了 SELECT 之外，我还必须担心 SQL 语句。所以我的问题现在变成了；是否有一些规定 SqlConnection 只能用于“读取”（即选择）。

Answer 1

问题不在于适配器。问题是，如何将参数传递给 sql 命令。你不应该不做类似的事情

string sql = "SELECT * FROM t WHERE name='" + name +"'";

而是使用参数：

SqlCommand cmd = new SqlCommand(SELECT * FROM t WHERE name = @name", conn);
SqlParameter param  = new SqlParameter();
param.ParameterName = "@name";
param.Value = "John Doe";
cmd.Parameters.Add(param);

Answer 2

一般来说，我会说：是的，你必须这样做。

但也许 Crystal Reports 已经引用了 SQL 字符串。自己尝试一下“攻击”，看看sqlSelectStatement 包含什么内容。