Является ли IQueryable SQL-инъекцией доказательством с использованием Entity Framework?

Question

Я знаю, что если я использую linq для sql, все будет параметризоваться и SQL-инъекция безопасна. Но как насчет IQueryable?

Например, я могу бросить некоторый объект в IQueryable:

var myquery = mytesttable.AsQueryable(); 
var qText = "name="+ "\""+DynamicSearchCondition+ "\""; 
myquery = myquery.Where(qText); 

Затем, когда запрос выполняется, от трассы я могу видеть, что DynamicSearchCondition Передаваемый не параметрирован.

Первоначально я думал, что это не sql-инжекционное доказательство, но затем я попробовал несколько примеров и просто не могу сломать этот. Означает ли это, что это инъекция sql бесплатно (я думаю, что это сейчас)?

Если это так, означает ли это, что все IQueryable являются безопасными для SQL-инъекций?

Answer 1

Нет, IQueryable сам по себе не является доказательством впрыска, поскольку это всего лишь интерфейс для построения запроса Expression. Он не определяет, как принять это Expression и превратить его во что-то исполняемое, такое как SQL. Что делает выполнить это запрос Provider (многие существуют. Linq to Objects, Linq to Entities, Linq to Excel, чтобы назвать несколько).

Таким образом, ваш пример, который, как представляется, использует DynamicLinq (на основе использования расширения .Where(string)), должен иметь аналогичные защиты параметров, как обычные Linq to Entities IQueryable. DynamicLinq не вводит никаких дополнительных проблем, связанных с впрыском SQL , потому что это просто утилита, которая работает на IQueryable. Все, что он делает, просто переведено в дерево выражений, которое снова зависит от Provider, чтобы фактически перевести на SQL. Это не означает, что синтаксис DynamicLinq сам по себе безопасен от собственного потенциала впрыска (см. here для некоторых примеров, но это не SQL-инъекция).

Microsoft имеет это сказать о LINQ для лиц и инъекции SQL:

Security Considerations (Entity Framework)

Хотя состав запроса возможно в LINQ для лиц, она выполняется через API объектной модели. В отличие от запросов Entity SQL запросы LINQ to Entities не составлены с помощью манипуляций строк или конкатенации, и они не подвержены традиционным атакам SQL-инъекций.

Это означает, что построенный вами DynamicLinq IQueryable (при использовании LINQ to Entities в качестве поставщика) должен по-прежнему параметризовать входы. Если ваш вопрос действительно «Является ли LINQ to Entities инъекционным доказательством?», Тогда лучший ответ, который я мог бы дать, «Вероятно, они приложили все разумные усилия для защиты от него».

Answer 2

Абсолютно он уязвим для инъекционных атак.

Для вашего конкретного примера:

var myquery = mytesttable.AsQueryable(); 
var qText = "name="+ "\""+DynamicSearchCondition+ "\""; 
myquery = myquery.Where(qText); 

потерпит неудачу с этим:

var DynamicSearchCondition= "\" or \"\"=\"";