c# - 使用包含 EF 时可能的 SQL 注入(inject)？

Question

我注意到在 EF 中使用 Contains 时

.Where(i => myListOfStrings.Contains(i.Value))

生成的SQL是这样的

IN ('Value1', 'Value2')

既然值没有参数化，是不是可以注入(inject)一些SQL？

Answer 1

它不会盲目地从您的Contains构造IN语句。至少它会转义单引号(通过加倍)。假设你想像评论中建议的那样注入(inject) "') OR 1=1--"之类的东西，假设它将被转换为:

where ... IN ('') OR 1 = 1 -- the rest

但是因为单引号被转义了，所以会是:

where ... IN (''') OR 1 = 1 --' -- the rest

所以我们在这里很安全，因为您的整个语句都被视为字符串。