Sterowanie wstrzyknięciem SQL w MVC

Question

To mój pierwszy raz, kiedy pracuję nad MVC i chcę go zabezpieczyć.

Kiedy używam HtmlEncode, konwertuje String na równoważny ciąg HTML.

Użytkownik może wprowadzić do wyszukiwania na przykład ali 'lub ali-- i one istnieją w mojej bazie danych. Jak kontrolować moje wyszukiwanie i logowanie z SQL injection?

Czy istnieje również samouczek lub najlepsza praktyka zapobiegająca wstrzykiwaniu skryptu?

Answer 1

LINQ i Entity Framework już sprawdzają dla SQL Injection dla ciebie.

Ale należy zapoznać się z dokumentacją Byle:

LINQ MSDN Link (sekcja SQL-Injection Attacks)

Entity Framework MSDN Link (sekcja względy bezpieczeństwa dla zapytań)

nadzieję, że to pomaga!

Answer 2

Jeśli używasz LINQ do wykonywania zapytań do bazy danych, eliminuje to ryzyko wstrzyknięcia SQL.

Answer 3

Dopóki używasz sparametryzowanych zapytań lub ORM jak NHibernate lub Entity Framework, nie musisz robić nic, aby zapobiec iniekcjom SQL. Parametry są przekazywane do serwera poza faktyczną instrukcją SQL, w ramach wywołania RPC na serwerze. Większość ORM używa sparametryzowanych zapytań ze względu na przyczyny wydajności, więc nie są podatne na iniekcję SQL.

Injection SQL jest możliwy tylko wtedy, gdy utworzysz instrukcję SQL, łącząc wartości ciągów.

Powiedziawszy, nadal musisz być ostrożnym przed wprowadzaniem danych przez użytkownika, aby zapobiec atakom wtrysku skryptów. Na szczęście ASP.NET MVC zapewnia mechanizm sprawdzania żądań (patrz Understanding Request Validation).