Tiêm SQL có thể khi sử dụng chứa với EF?

Question

tôi đã nhận thấy rằng khi sử dụng Có trong EF

.Where(i => myListOfStrings.Contains(i.Value)) 

SQL được tạo ra trông như thế này

IN ('Value1', 'Value2') 

Kể từ khi giá trị không phải là tham số, chứ không phải là nó có thể tiêm một số SQL?

Answer 1

Nó sẽ không chỉ vô tình xây dựng tuyên bố IN từ Contains của bạn. Ít nhất nó sẽ thoát khỏi dấu nháy đơn (bằng cách tăng gấp đôi chúng). Giả sử bạn muốn tiêm một cái gì đó như "') OR 1 = 1-" như gợi ý trong các ý kiến, giả định rằng nó sẽ được chuyển đổi sang:

where ... IN ('') OR 1 = 1 -- the rest 

Nhưng vì dấu nháy đơn được thoát khỏi đó sẽ là:

where ... IN (''') OR 1 = 1 --' -- the rest 

Vì vậy, chúng tôi an toàn ở đây, bởi vì toàn bộ câu lệnh của bạn được coi là chuỗi.