Я использую С# и .NET 3.5. Мне нужно сгенерировать и сохранить некоторые инструкции вставки T-SQL, которые будут выполняться позже на удаленном сервере.
Например, у меня есть массив Employees:
new Employee[]
{
new Employee { ID = 5, Name = "Frank Grimes" },
new Employee { ID = 6, Name = "Tim O'Reilly" }
}
и мне нужно закончить массив строк, например:
"INSERT INTO Employees (id, name) VALUES (5, 'Frank Grimes')",
"INSERT INTO Employees (id, name) VALUES (6, 'Tim O''Reilly')"
Я просматриваю код, который создает инструкции insert в String.Format, но это не так. Я рассматривал использование SqlCommand (надеясь сделать что-то вроде этого), но он не предлагает способ комбинировать текст команды с параметрами.
Достаточно ли просто заменить одиночные кавычки и построить строку?
string.Format("INSERT INTO Employees (id, name) VALUES ({0}, '{1}')",
employee.ID,
replaceQuotes(employee.Name)
);
Что мне следует беспокоиться о том, когда вы это делаете? Исходные данные достаточно безопасны, но я не хочу делать слишком много предположений.
EDIT: просто хочу указать, что в этом случае у меня нет SqlConnection или любого способа прямого подключения к SQL Server. Это конкретное приложение должно генерировать операторы sql и ставить их в очередь для выполнения где-то в другом месте - иначе я бы использовал SqlCommand.Parameters.AddWithValue()
Использовать параметризованные команды. Передайте параметры вместе с вашим удаленным сервером, и получите это, чтобы позвонить в SQL Server, все еще сохраняя различие между самим SQL и значениями параметров.
Пока вы никогда не смешиваете данные обработки как код, вы должны быть в порядке.
Создайте свой объект SqlCommand следующим образом:
SqlCommand cmd = new SqlCommand(
"INSERT INTO Employees (id, name) VALUES (@id, @name)", conn);
SqlParameter param = new SqlParameter();
param.ParameterName = "@id";
param.Value = employee.ID;
cmd.Parameters.Add(param);
param = new SqlParameter();
param.ParameterName = "@name";
param.Value = employee.Name;
cmd.Parameters.Add(param);
cmd.ExecuteNonQuery();
Исправьте функцию замены кавычек следующим образом:
void string replaceQuotes(string value) {
string tmp = value;
tmp = tmp.Replace("'", "''");
return tmp;
}
Ура!
Хм, я согласен со всеми, что вы должны использовать параметризованные запросы и оставите это на этом. Но как вы собираетесь передавать эти SQL-заявления на ваш удаленный сервер? Есть ли у вас какой-то сервис, например веб-сервис, который будет принимать и выполнять произвольные команды Sql или ваше клиентское приложение сразу попадет в базу данных?
Если вы проходите через какой-то прокси-сервер, то независимо от того, насколько вы дезинфицируете свои данные на клиенте, хакер может просто обойти ваше приложение и воспользоваться сервисом. В этом случае сделайте то, что Cade рекомендует и передает данные как XML, например, или любой другой формат, который вы выберете (JSON, Binary и т.д.). Затем создайте свой SQL прямо перед тем, как выполнить команду.
Чтобы избежать инъекции, вам необходимо отправить данные на удаленный сервер (возможно, в формате XML), а затем на удаленный сервер, данные должны быть преобразованы обратно в соответствующие типы данных и использованы в параметризованных запросах или сохраненных процедурах.