c# - QuoteIdentifier 是否足以保护查询免受 Sql 注入(inject)攻击？

Question

虽然参数是防止Sql 注入(inject)的最佳方式，但在构建动态查询时，有时我们不能使用它。例如，表/列/索引名称不能作为参数传入，而只能是纯文本。

好像是

SqlCommandBuilder.QuoteIdentifier

是我能找到的唯一选择。调用这个方法是否足以保护我们自己？

MSDN 文档:

Given an unquoted identifier in the correct catalog case, returns the correct quoted form of that identifier. This includes correctly escaping any embedded quotes in the identifier.

例如是

"Select * FROM " + SqlCommandBuilder.QuoteIdentifier("CustomTable" + userInputText);

安全吗？

编辑:查询只是一个例子。我有兴趣了解 Sql 注入(inject)是否可行。

Answer 1

它不会保护您免受攻击者进入您不希望他们访问的表。

比如SQL系统表...