Может ли регулярное выражение быть использовано для предотвращения SQL Injection

Question

Прежде чем я прошу - я знаю о paranterised запросов, но этот вопрос специально baout регулярные выражения, чтобы предотвратить SQL-инъекции

Допустим, у меня есть строки запроса с В параметре из q и у меня есть регулярное выражение ^201[0-9]Q[0-9]$, которое я выполняю против параметра, который передается в SQL.

Будет ли это достаточным в качестве защиты или может использоваться регулярное выражение? Некоторые псевдо-код:

if NOT validateToken(quarter) then 
    sql = "EXEC dbo.spTest '"&quarter&"'" 
end if 

Благодаря

Answer 1

В вашем случае, да, чек достаточно для предотвращения SQL Injection. Вид проверки, которую вы устанавливаете, - это вид проверки, необходимый при работе с пользовательским вводом.

Итак, как правило, вы никогда не должны конкатенировать предоставленные пользователем данные и код SQL, если только вы не предоставляете всестороннюю проверку содержимого параметров.

ПОДОЖДИТЕ! Вы проверяете параметр в .Net или SQL? Если в .Net, вы в безопасности. Если небезопасный код добирается до SQL, вы ввернуты в рояль.