Kiểm soát SQL injection trong MVC

Question

Đây là lần đầu tiên tôi phát triển bằng cách sử dụng MVC và tôi muốn làm cho nó an toàn.

Khi tôi sử dụng HtmlEncode, nó chuyển đổi chuỗi thành chuỗi HTML tương đương.

Người dùng có thể nhập vào tìm kiếm ví dụ như ali 'hoặc ali-- và chúng tồn tại trong cơ sở dữ liệu của tôi. Làm thế nào để kiểm soát tìm kiếm của tôi và đăng nhập từ SQL injection xin vui lòng?

Ngoài ra bất kỳ hướng dẫn hoặc phương pháp hay nhất nào để ngăn chặn việc chèn tập lệnh?

Answer 1

LINQ và khung pháp nhân đã kiểm tra SQL Injection cho bạn.

Nhưng bạn nên đọc tài liệu anyhow:

LINQ (tấn công phần SQL Injection) MSDN Link

Entity Framework MSDN Link (phần cân nhắc an ninh cho Queries)

Hy vọng nó sẽ giúp!

Answer 2

Nếu bạn sử dụng LINQ để thực hiện truy vấn cơ sở dữ liệu của bạn, nó loại bỏ loại rủi ro SQL injection đó cho bạn.

Answer 3

Miễn là bạn sử dụng truy vấn được tham số hóa hoặc ORM như NHibernate hoặc Entity Framework, bạn không phải làm bất cứ điều gì để ngăn chặn SQL injection. Các tham số được truyền cho máy chủ bên ngoài câu lệnh SQL thực tế, như một phần của cuộc gọi RPC tới máy chủ. Hầu hết các ORM sử dụng các truy vấn được tham số hóa cho các hiệu suất reasones, do đó chúng không dễ bị tấn công SQL injection.

Tiêm SQL chỉ có thể thực hiện được nếu bạn tạo câu lệnh SQL bằng cách ghép nối các giá trị chuỗi.

Điều đó nói rằng, bạn vẫn phải cảnh giác với đầu vào của người dùng để ngăn chặn các cuộc tấn công bằng tập lệnh. May mắn thay, ASP.NET MVC đã cung cấp một cơ chế xác nhận yêu cầu (xem Understanding Request Validation).