Truy vấn Dapper LIKE cho MySql an toàn với Sql Injection?

Question

Truy vấn này có an toàn với việc tiêm sql kết hợp với Dapper không? Nếu không, điều gì sẽ là cách chính xác để viết nó dưới MySql? Hoặc là có một phiên bản tốt hơn mà không cần sử dụng concat?

string sql = "SELECT * from user_profile WHERE FirstName LIKE CONCAT("%",@name,"%");" 
var result = connection.query<profile>(sql, new {name}); 

Answer 1

Đây là an toàn bởi vì bạn đang không xây dựng SQL động ở tất cả các. Tên chỉ là một tham số bình thường. Trên thực tế, nó không có gì để làm với Dapper.

Sử dụng chuỗi ký tự ở đây là lựa chọn đúng. Hoặc bạn có thể sử dụng chức năng SUBSTRING_INDEX.

Answer 2

Có không phải là một vấn đề với mã mà, nhưng cách tiếp cận khác là để thực hiện các concat ở người gọi, ví dụ:

const string sql = "SELECT * from user_profile WHERE FirstName LIKE @name;"; 
var result = connection.Query<Profile>(sql, new {name = "%"+name+"%"});