警告 EF1000。在“IN”语句中写入参数的最佳方法是什么？

Question

EF Core 2.1 引发有关 SQL 注入的警告。有我的代码 sn-p 它发生的地方

var query = await _ctx.Set<TABLE>()
                      .FromSql("Select * from TABLE where Artikelnummer IN (" + string.Join(',', artNum) + ")")
                      .AsNoTracking()
                      .Select(z => new
                      {
                        z.Artikelnummer,
                        z.Property
                      }).ToArrayAsync();

其中artNum（代表Artikel Numbers）是整数数组，如[1,22,34等]。

我无法在FromSql中将artNum作为参数传递，因为会有单引号并且SQL会抛出异常。

我可以将 FromSql 重写为

.Where(x => artNum.Contains(x.Artikelnummer))

但是我的查询比这个更大更复杂，所以 LINQ to Entities 在这种情况下并不好。 应该有那么，问题是如何重写这个查询，这样就不会出现警告？

LINQ to Entities 的执行时间比 LINQ to SQL 长得多，所以这不是解决我的问题的合适方法。

我调查了连接会导致警告，所以应该有没有连接的解决方案。

Answer 1

我似乎在 EF Core 文档中找不到这样的警告。 （有点）有趣的是，EF Core 2.1 查询翻译器本身并没有参数化生成的 SQL IN 值子句。如果您将查询的.FromSql 行替换为

.Where(x => artNum.Contains(x.Artikelnummer)

顺便说一句，哪个 LINQ to Entities 相当于您的查询，它可以很好地翻译和执行，所以我不知道在这种特殊情况下您为什么要打扰 FromSql。

但无论如何，您可以通过在 sql 字符串中包含 {0}、{1} 等占位符并通过 params object[] parameters 传递值来参数化 FromSql 查询：

与任何接受 SQL 的 API 一样，参数化任何用户输入以防止 SQL 注入攻击非常重要。您可以在 SQL 查询字符串中包含参数占位符，然后提供参数值作为附加参数。您提供的任何参数值都将自动转换为 DbParameter

你的情况可能是这样的：

var placeholders = string.Join(",", atrNum.Select((v, i) => "{" + i + "}"));
var values = atrNum.Cast<object>().ToArray();

.FromSql("Select * from TABLE where Artikelnummer IN (" + placeholders + ")", values)