EF 6 执行原生 SQL 语句，参数注入问题

小渣渣

需求：项目使用 EF ORM 框架对数据库进行增删改查，但是，面对复杂的查询，可能无法使用 Linq、Lambda 更好的查询，需要我们使用 EF 6 执行原生 SQL 语句进行查询。

原始 SQL 查询 (EF6)：https://learn.microsoft.com/zh-cn/ef/ef6/querying/raw-sql

由于 SQL 语句需要携带 where 条件，参数值是通过 URL 参数的方式进行传递。


首先，我们 SQL 语句使用字符串拼接的方式进行查询，如下：



代码如下：

登录可见。

可以看到数据库执行的 SQL 语句如下：

SELECT Name FROM [Classification] WHERE Name = '移动开发';select 1;--'

通过拼接 SQL 语句的方式，存在注入风险。

我们修改代码，通过参数化查询，以防止 SQL 注入攻击，代码如下：

登录可见。

exec sp_executesql N'SELECT Name FROM [Classification] WHERE Name = @n',N'@n nvarchar(17)',@n=N'移动开发'';select 1;--'

EF Core 不是直接使用拼接的方式处理SQL，而是转化为参数化的SQL语句。参考如下：

EF Core 系列（五）执行 SQL 语句或者视图、存储过程
https://www.itsvse.com/thread-9565-1-1.html

（完）

小渣渣

使用 SQLMAP 渗透工具测试 SQL 注入测试
https://www.itsvse.com/thread-10611-1-1.html

小渣渣

简写形式

登录可见。