将包含与 EF 一起使用时可能的 SQL 注入？

Question

我注意到在 EF 中使用 Contains 时

.Where(i => myListOfStrings.Contains(i.Value))

生成的SQL是这样的

IN ('Value1', 'Value2')

由于值没有参数化，是不是可以注入一些SQL？

Answer 1

它不会只是盲目地从您的Contains 构造 IN 语句。至少它会转义单引号（通过加倍它们）。假设你想像 cmets 中建议的那样注入类似 "') OR 1=1--" 的东西，假设它将被转换为：

where ... IN ('') OR 1 = 1 -- the rest

但是因为单引号被转义了，所以：

where ... IN (''') OR 1 = 1 --' -- the rest

所以我们在这里是安全的，因为您的整个语句都被视为字符串。