c# - 使用 Cosmos DB 时，将 CreateDocumentQuery 与谓词 SQL 注入(inject)结合使用是否安全？

Question

我正在 .NET 应用程序中使用 Microsoft.Azure.DocumentDB.Core 版本 2.1.1 库来查询 Cosmos DB 中的数据。

下面是我用来从 Cosmos DB 查询数据的代码:

var query = predicate == null 
    ? docClient.CreateDocumentQuery<T>(CollectionUri, new FeedOptions {..... }).AsDocumentQuery()
    : docClient.CreateDocumentQuery<T>(CollectionUri, new FeedOptions { .....}).Where(predicate).AsDocumentQuery();

从上面的代码中我的问题是，在查询中使用谓词将是 SQL 注入(inject)安全的吗？

Answer 1

确实会安全。

该 SDK 使用内部 LINQ to CosmosDB SQL 转换器，该转换器仅将 LINQ 转换为单个字符串的查询。 SDK 将使用 SqlSelectClause、SqlWhereClause 等内部类来约定安全的最终结果。

您还可以使用 query.ToString() 查看 LINQ 创建的确切查询。