Zapytanie Dapper LIKE dotyczące zabezpieczenia MySql przed iniekcją Sql?

Question

Czy to zapytanie jest bezpieczne w stosunku do wtrysku sql w połączeniu z Dapper? Jeśli nie, jaki byłby właściwy sposób zapisu go w MySql? A może jest lepsza wersja bez użycia concat?

string sql = "SELECT * from user_profile WHERE FirstName LIKE CONCAT("%",@name,"%");" 
var result = connection.query<profile>(sql, new {name}); 

Answer 1

To bezpieczny ponieważ jesteś nie budowanie SQL dynamicznie w całej. Nazwa to normalny parametr. W rzeczywistości nie ma to nic wspólnego z Dapperem.

Używanie konkatału ciągów tutaj jest właściwym wyborem. Alternatywnie możesz użyć funkcji SUBSTRING_INDEX.

Answer 2

Nie ma problemu z tym kodem, ale innym sposobem jest przeprowadzenie concat na rozmówcy, tj

const string sql = "SELECT * from user_profile WHERE FirstName LIKE @name;"; 
var result = connection.Query<Profile>(sql, new {name = "%"+name+"%"});