C# và MySQL .NET Connector - Bất kỳ cách nào ngăn chặn các cuộc tấn công SQL Injection trong một lớp chung?

Question

Ý tưởng của tôi là tạo một số lớp chung cho Chèn/Cập nhật/Chọn qua ứng dụng Winforms C# (3.5) nói chuyện với cơ sở dữ liệu MySQL thông qua MySQL .NET Connector 6.2.2.

Ví dụ:

public void Insert(string strSQL) 
{ 
    if (this.OpenConnection() == true) 
    { 
     MySqlCommand cmd = new MySqlCommand(strSQL, connection); 
     cmd.ExecuteNonQuery(); 
     this.CloseConnection(); 
    } 
} 

Sau đó từ bất cứ nơi nào trong chương trình tôi có thể chạy một truy vấn có/không có người dùng nhập vào bằng cách chỉ cần đi qua một chuỗi truy vấn SQL.

Đọc xung quanh trên SO đang bắt đầu cho tôi chỉ báo rằng điều này có thể dẫn đến tấn công SQL injection (đối với bất kỳ giá trị người dùng nhập nào). Có anyway của chà strSQL đầu vào hoặc tôi cần phải đi và tạo ra các truy vấn tham số cá nhân trong mọi phương pháp mà cần phải làm một chức năng cơ sở dữ liệu?

UPDATE1:

giải pháp cuối cùng của tôi trông giống như sau:

public void Insert(string strSQL,string[,] parameterValue) 
{ 
    if (this.OpenConnection() == true) 
    { 
     MySqlCommand cmd = new MySqlCommand(strSQL, connection); 

     for(int i =0;i< (parameterValue.Length/2);i++) 
     {       
     cmd.Parameters.AddWithValue(parameterValue[i,0],parameterValue[i,1]);   
     } 

     cmd.ExecuteNonQuery(); 
     this.CloseConnection(); 
    }} 

Answer 1

Bạn chắc chắn nên sử dụng các truy vấn được tham số hóa để giữ cho mình an toàn.

Bạn không phải tự tạo các truy vấn được tham số hóa mỗi lần. Bạn có thể thay đổi phương pháp chung chung mà bạn cung cấp để chấp nhận một bộ sưu tập của MySqlParameters:

public void Insert(string strSQL, List<MySqlParameter> params) 
{ 
    if(this.OpenConnection() == true) 
    { 
     MySqlCommand cmd = new MySqlCommand(strSQL, connection) 
     foreach(MySqlParameter param in params) 
      cmd.Parameters.Add(param); 

     cmd.ExecuteNonQuery(); 
     this.CloseConnection(); 
    } 
} 

Tôi cũng nên đề cập rằng bạn phải rất cẩn thận về dọn dẹp kết nối của bạn sau khi bạn đã hoàn tất việc sử dụng chúng (thường là xử lý trong một using chặn, nhưng tôi không thấy mức độ chi tiết đó trong ví dụ mã của bạn).

Answer 2

Nó không thể phát hiện SQL injection sau khi thực tế (hay nói cách khác, một khi bạn đã xây dựng một chuỗi truy vấn năng động , nó không thể phân biệt những gì "thực sự" SQL là so với bất kỳ SQL tiêm).

Nếu ý định của bạn là cho phép người dùng thực thi SQL tùy ý, thì có vẻ như bạn sẽ không quá lo lắng về việc tiêm SQL (vì đó là nhằm mục đích của SQL injection).

Answer 3

Tôi hy vọng rằng sẽ rất khó khăn để quét văn bản thô sẽ được sử dụng cho SQL. Nếu có thể tôi sẽ cố gắng sử dụng các hoạt động tham số hóa.

Một ngoại lệ sẽ là nếu bạn không hiển thị công khai hàm và bạn không bao giờ chuyển một chuỗi được tạo từ đầu vào của người dùng thô.

Answer 4

nếu bạn sử dụng MySqlParameter và không tạo các truy vấn chuỗi đơn giản, bạn an toàn.

Answer 5

Bạn không thể thực sự làm điều này - bạn cần phải viết một trình phân tích cú pháp SQL để nói rằng ít nhất là không tầm thường và dễ bị lỗi.

Cắn viên đạn và thông số truy vấn của bạn.

Answer 6

Tôi khuyên bạn nên sử dụng các đối tượng IDataParameter để tham số hóa truy vấn của bạn.

Answer 7

Parametrization rất dễ thực hiện. Dễ dàng hơn nhiều so với việc quét các truy vấn SQL và ít lộn xộn hoặc dễ xảy ra lỗi hơn là thoát bằng tay.

Hơi sửa copy/paste từ this tutorial page bởi vì tôi cảm thấy lười biếng:

// User input here 
Console.WriteLine("Enter a continent e.g. 'North America', 'Europe': "); 
string userInput = Console.ReadLine(); 

string sql = "SELECT Name, HeadOfState FROM Country WHERE Continent=@Continent"; 
MySqlCommand cmd = new MySqlCommand(sql, conn); 
cmd.Parameters.AddWithValue("@Continent", userInput); 

using (MySqlDataReader dr = cmd.ExecuteReader()) 
{ 
    // etc. 
} 

Đó không phải là khó khăn như vậy, đúng không? :)

Answer 8

CÓ bạn cần tạo truy vấn được tham số hóa, bất kỳ điều gì khác sẽ giới thiệu nguy cơ tiêm SQL