对列名使用 C# SQL 参数化

Question

我遇到了问题。我想让它工作，但它没有：

SqlDataSource.SelectCommand = "SELECT blah1, blah2 FROM myTable WHERE @ColumnName = @Value";

SqlDataSource.SelectParameters.Add("ColumnName", System.Data.DbType.String, "one");
SqlDataSource.SelectParameters.Add("Value", System.Data.DbType.String, "two");

它不会替换第一个参数“ColumnName”。如果我删除该参数并像这样将列名放入其中，它将起作用：

SqlDataSource.SelectCommand = "SELECT blah1, blah2 FROM myTable WHERE one = @Value";

SqlDataSource.SelectParameters.Add("Value", System.Data.DbType.String, "two");

我有一个用户界面，用户可以在其中选择要搜索的数据库列名。我想保护自己免受任何形式的注射攻击。有什么想法可以让我完成这项工作吗？

我读到的一个想法是使用查找表从DropDownList 获取索引并以这种方式提取列名。我可以做到这一点，但如果可能的话，我宁愿让参数化工作，因为这对我来说似乎更自然。

提前感谢您提供的任何帮助。

Answer 1

我想出了一种方法来解决参数化列名的问题。我遇到了同样的问题，但想出了一个不同的方法，因为我是唯一使用列名的人，所以我相信这仍然是一个安全的选择。

            String sqlcomm = "SELECT * FROM Asset WHERE " + assetColName + " = ";
            command.CommandText = sqlcomm + "$assetColValue";

            //command.CommandText = @"SELECT * FROM Asset WHERE $assetColName = '$assetColValue'";
            //command.Parameters.AddWithValue("$assetColName", assetColName);

            command.Parameters.AddWithValue("$assetColValue", assetColValue);

从上面的代码可以看出。我几乎尝试了你所做的，然后我不得不发表评论。然后我将字符串连接在一起，并能够使用我的参数化列名和值，然后安全地添加值。然而，列名是不安全的，但这是一种只有我会使用的方法，所以它仍然有点安全。如果您想更安全，可以添加正则表达式，但您知道修复的想法。

Answer 2

恐怕你做不到，你可以做的是一个小技巧：

SELECT blah1, blah1 FROM myTable 
WHERE (@blah1 is null or blah1 = @blah1)
   or (@blah2 is null or blah2 = @blah2)

并提供所有参数@blah1、@blah2，但只分配您需要的参数。

Mike Christensen 为您提供的NB 解决方案基本上是在正确的条件下构建字符串，最简单的情况是

public bool BuildQueryWithCondition(string fieldName, string fieldValue) {
   var queryTemplate = "SELECT blah1, blah1 FROM myTable WHERE {0} = @Value"
     , query = string.Format(queryTemplate, fieldName)
   SqlDataSource.SelectCommand = query;
   SqlDataSource.SelectParameters.Add("Value", System.Data.DbType.String, fieldValue);
}

Answer 3

由于查询参数是在解析 SQL 并生成执行计划之后解析的，因此您实际上无法使用参数动态构建 SQL。我建议以安全的方式构建 SQL 字符串本身。也许首先创建一个有效列名的enum：

enum DbColumns { One, Two, Three };

然后像这样构建 SQL 字符串：

DbColumns colName = (DbColumns)Enum.Parse(typeof(DbColumns), "One");
SqlDataSource.SelectCommand = String.Format("SELECT blah1, blah1 FROM myTable WHERE {0} = @Value", colName);

另一个想法是使用正则表达式验证列名，也许只允许[a-z]。