C# und MySQL .NETZ-Anschluss - keine Möglichkeit der Verhinderung von SQL-Injection-Angriffe in einer generischen Klasse?

Meine Idee ist, erstellen Sie einige generische Klassen für Insert/Update/Select über eine C# (3.5) Winforms app Unterhaltung mit einer MySQL-Datenbank via MySQL .NET-Anschluss 6.2.2.

Beispiel:

public void Insert(string strSQL)
{
   if (this.OpenConnection() == true)
   {
       MySqlCommand cmd = new MySqlCommand(strSQL, connection);
       cmd.ExecuteNonQuery();
       this.CloseConnection();
   }
}

Dann von überall im Programm kann ich eine Abfrage ausführen, mit/ohne Benutzereingabe, nur durch die übergabe eines SQL-Abfrage-string.

Lesen, um auf, SO ist ab zu geben mir den Hinweis, dass dies kann dazu führen, SQL-injection-Angriffe (für jede user-Eingabe-Werte). Ist es überhaupt schrubben die eingegebenen strSQL oder brauche ich zu gehen, und erstellen Sie einzelne parametrisierte Abfragen, in jeder Methode, die Bedürfnisse zu tun, eine Funktion in der Datenbank?

UPDATE1:

Meine Finale Lösung sieht wie folgt aus:

public void Insert(string strSQL,string[,] parameterValue)
{
   if (this.OpenConnection() == true)
   {
       MySqlCommand cmd = new MySqlCommand(strSQL, connection);

       for(int i =0;i< (parameterValue.Length / 2);i++)
       {                        
       cmd.Parameters.AddWithValue(parameterValue[i,0],parameterValue[i,1]);          
       }

       cmd.ExecuteNonQuery();
       this.CloseConnection();
   }}
  • Diese Schreie, schreckliche Idee. Sollten Sie ein ORM oder schreiben gespeicherte Prozeduren.
InformationsquelleAutor John M | 2010-05-05
  1. 11

    Sollten Sie auf jeden Fall mit parametrisierten Abfragen, um sich zu halten safe.

    Du musst Sie nicht von hand erstellen Sie parametrisierte Abfragen jedes mal, wenn. Sie ändern könnte, die generische Methode Sie akzeptiert eine Sammlung von MySqlParameters:

    public void Insert(string strSQL, List<MySqlParameter> params)
{
    if(this.OpenConnection() == true)
    {
        MySqlCommand cmd = new MySqlCommand(strSQL, connection)
        foreach(MySqlParameter param in params)
            cmd.Parameters.Add(param);

        cmd.ExecuteNonQuery();
        this.CloseConnection();
    }
}

    Sollte ich auch erwähnen, dass Sie sollten SEHR vorsichtig sein bei der Reinigung Ihrer verbindungen, nachdem Sie fertig sind mit Ihnen (in der Regel behandelt werden, in einen using block, aber ich sehe nicht, dass eine level-of-detail in deinem code-Beispiel).

    • Dank Justin - ich hatte zunächst an eine Weise zu denken, zu hybridisieren, in eine generische Klasse mit parametrisierten Abfragen, aber Sie schlagen mich zu es. Können Sie klären, was Sie bedeuten, durch einen using-block verwenden?
    • können Sie mir beibringen, wie kann ich dieses sql-wrapper? danke =)
    InformationsquelleAutor Justin Niessner
  2. 11

    Parametrierung ist sehr einfach zu tun. Viel einfacher als das schrubben von SQL-Abfragen, und weniger chaotisch oder fehleranfällig als die manuelle entkommen.

    Leicht bearbeitet copy/paste von diese tutorial-Seite, weil ich ' m Gefühl faul:

    //User input here
Console.WriteLine("Enter a continent e.g. 'North America', 'Europe': ");
string userInput = Console.ReadLine();

string sql = "SELECT Name, HeadOfState FROM Country WHERE Continent=@Continent";
MySqlCommand cmd = new MySqlCommand(sql, conn);
cmd.Parameters.AddWithValue("@Continent", userInput);

using (MySqlDataReader dr = cmd.ExecuteReader())
{
    //etc.
}

    Dass es gar nicht so schwer, war es? 🙂

    • Danke @Thorarin, ich ging mit @Justin Niessner Antwort aufgrund seiner generischen Natur (ich möchte nicht an der Verbindung/MySQL-code in jeder Methode) aber deine Antwort hilft definitiv mit der syntax.
    • M: Du bist willkommen, zu schreiben, wrapper-Methoden natürlich. Mein Ziel war es zu zeigen, die bare-metal-it.
    InformationsquelleAutor Thorarin
  3. 1

    Es unmöglich zu erkennen SQL-injection-nach der Tat (in anderen Worten, Sie haben einmal konstruiert sich eine dynamische query-string, ist es unmöglich zu unterscheiden, was die "echten" SQL ist gegen jede eingefügte SQL).

    Wenn Ihre Absicht ist es, Benutzern das ausführen beliebiger SQL, dann würde es scheinen, wie Sie würde nicht allzu besorgt über SQL-injection (denn das ist das Ziel, SQL-injection).

    • Danke @Adam - ich hatte nicht gedacht, dass Weg - ich nehme an, es kann sein, einige Methoden verwenden, Regex, etc. auf die Abfragen, aber jeder Ansatz wäre wohl eine Schwachstelle.
    • Es gibt keine Allgemeine Möglichkeit, RegEx oder nicht. Egal welche Methode Sie verwenden, ist zu haben, zu wissen, etwas über, wie die Abfrage/Anweisung sollte zu sehen, so es gibt keinen Weg, es zu tun in einem Kontext-neutral.
    InformationsquelleAutor Adam Robinson
  4. 1

    Ich würde erwarten, dass es wäre ziemlich schwer zu schrubben raw-text, der verwendet wird für SQL. Wenn möglich würde ich versuchen, auf der Verwendung von parametrisierten Operationen.

    Eine Ausnahme wäre, wenn Sie didn ' T setzen Sie die Funktion öffentlich ist, und Sie nie, übergeben Sie eine Zeichenfolge, die gebaut wurde aus raw user input.

    InformationsquelleAutor John Weldon
  5. 1

    wenn Sie MySqlParameter und erzeugen nicht einfacher string Abfragen Sie sicher sind.

    InformationsquelleAutor Andrey
  6. 1

    Kann man nicht wirklich, dies zu tun - Sie müssten schreiben Sie einen SQL-parser, um das Mindeste zu sagen, ist nicht trivial und sehr fehleranfällig.

    Den sauren Apfel beißen und parametrieren Sie Ihre Abfragen.

    InformationsquelleAutor Joe
  7. 1

    Ich würde vorschlagen, die Verwendung IDataParameter-Objekte zu parametrisieren Sie Ihre Abfragen.

    InformationsquelleAutor programatique
  8. 1

    JA, Sie müssen erstellen Sie parametrisierte Abfragen, alles andere bringt die Gefahr von SQL-injection -

    • Ich würde nicht so weit gehen. Es sind luftdicht Möglichkeiten der Flucht Benutzereingaben. Leider Programmierer sind auch nur Menschen, und vielleicht vergessen, zu entkommen, etwas...
    • Die Frage war, zu verarbeiten/Peeling NACH es wurde in Kombination mit SQL....an diesem Punkt ist ist fast unmöglich zu tun
    InformationsquelleAutor Mitchel Sellers
Schreibe einen Kommentar