在 nhibernate 中防止 Sql 注入

Question

在我的项目中，我有一种方法将 serviceTags 作为 nhibernate 动态查询中的字符串参数输入，并将其替换为 ''。现在它已经参数化，但仍然对 sql 注入构成威胁。所以我的问题是在没有威胁的情况下获得这种功能我该怎么办？用户输入的类型/长度检查已经在我的脑海中，我认为这不会解决整个威胁。

 public Dictionary<string, string> GetCollectionStatus(string serviceTags)
 { using (var session = m_SessionFactory.OpenSession())
        {
           foreach (var resultParts in session.CreateSQLQuery(string.Format("select servicetag , " +
                                                                             "DiagnosticStatus from AssetOverview where servicetag IN ('{0}')", 
                                                                             serviceTags.Replace(",", "','"))).List())
            {
                collectionStatus.Add(((object[])(resultParts))[0].ToString(), ((object[])(resultParts))[1].ToString());
            }
        }
        return collectionStatus;
    }

Answer 1

为了防止 SQL 注入，即使用 NHibernate 来格式化你的字符串，只需这样做：-

var q = session.CreateSQLQuery(
   "select servicetag, DiagnosticStatus from AssetOverview 
       where servicetag IN (:list)")
   .SetParameterList("list", serviceTags)
   .List();

NHibernate 将为您转义单引号。

编辑我会执行以下操作，因为我可以看到 serviceTags 是一个逗号分隔的列表...

   .SetParameterList("list", serviceTags.split(','))

请注意，如果您有前导/尾随空格或空格，这可能会产生问题！