EntitySQL и SQL инъекции

Question

Я получил следующую строку запроса

"SELECT VALUE entity FROM Entities AS entity WHERE entity.Client_id 
= 0 && entity.Name LIKE @searchvalue ORDER BY @sorting SKIP @skip LIMIT @limit" 

со следующей заменой парам

query.Parameters.Add(new ObjectParameter("skip", start)); 
query.Parameters.Add(new ObjectParameter("limit", limit)); 
query.Parameters.Add(new ObjectParameter("searchvalue", searchValue + "%")); 
query.Parameters.Add(new ObjectParameter("sorting", sortField + " " + sortDirection.ToUpper())); 

Но я всегда в конечном итоге в исключение:

ключевое выражение «ORDER BY» должно иметь как минимум одну ссылку на область непосредственного ввода . Рядом с пунктом ORDER BY пункт

Я предполагаю, что это произошло, потому что query.Parameters.Add(...) обертывает все в кавычки? Я также читал this, но для чего мне тогда нужен query.Parameters.Add(...), если ничего не может произойти? Хорошо, злоумышленник может не запускать новый запрос, но я думаю, что он может манипулировать потоком?

Answer 1

Guess: Первое, что я хотел бы попробовать сделать что-то вроде этого

Выберите значение сущностей из сущности, как объекта WHERE entity.Client_id = 0 & & '@searchvalue' entity.Name LIKE ЗАКАЗАТЬ BY @sorting @sortorder SKIP @skip LIMIT @limit

query.Parameters.Add(new ObjectParameter("searchvalue", searchValue + "%")); 
query.Parameters.Add(new ObjectParameter("sorting", sortField)); 
query.Parameters.Add(new ObjectParameter("sortorder", sortDirection)); 

другими словами: перемещение порядок сортировки, чтобы отделить параметр.

EDIT

Если это не работает, использование Query Builder построить запрос.

Посмотрите, например, here.

Удачи.

Answer 2

Попробовали удалить цитаты @searchvalue, так как вы используете параметризованный запрос IMO, цитаты больше не требуются.

Вместо:

"SELECT VALUE entity FROM Entities AS entity WHERE entity.Client_id 
= 0 && entity.Name LIKE '@searchvalue' ORDER BY @sorting SKIP @skip LIMIT @limit" 

Попробуйте это:

"SELECT VALUE entity FROM Entities AS entity WHERE entity.Client_id 
= 0 && entity.Name LIKE @searchvalue ORDER BY @sorting SKIP @skip LIMIT @limit" 

Answer 3

вы не можете использовать параметры как замена имен столбцов.