axapta - 对 IAxaptaRecord.ExecuteStmt() 的注入(inject)安全调用

Question

是否有一种注入(inject)安全的方法可以通过 axpata 业务连接器进行调用

string salesId = someObject.Text;

IAxaptaRecord salesLine = ax.CreateRecord("SalesLine");
salesLine.ExecuteStmt("select * from %1 where %1.SalesId == '" + salesId + "'"); 

如果 someObject.Text 设置为以下内容，则我很容易受到 x++ 代码注入(inject)的攻击:

"SomeSalesOrder' || %1.SalesId == 'SomeOtherOrder"

有没有办法参数化查询，或者直接在 x++ 中编写所有数据访问代码，然后从 COM 调用会更好吗？

Answer 1

无法确保您已涵盖所有情况...

使用 ExecuteStmt 很可能是错误的方法。您应该在 Axapta 方法(带参数)中编写您的选择或其他内容，然后调用该方法。