PetaPoco 的 Query(string query, parameters) 方法是否可以防止 SQL 注入？答案

【问题标题】：Does PetaPoco's Query(string query, parameters) method protect from SQL injection?PetaPoco 的 Query(string query, parameters) 方法是否可以防止 SQL 注入？
【发布时间】：2017-12-08 00:04:09
【问题描述】：

PetaPoco's home page 中提到 PetaPoco 的 SQL Builder（Sql 对象）可以防止 SQL 注入。但是 Query(string query, parameters) 方法是否可以防止 SQL 注入？

SQL Builder 是安全的：

var id = 123;
var a = db.Query<article>(PetaPoco.Sql.Builder
  .Append("SELECT * FROM articles")
  .Append("WHERE article_id=@0", id)
);

但是这样传递参数的字符串查询安全吗？

var id = 123;
var a = db.Query<article>("SELECT * FROM articles WHERE article_id=@0", id);

【问题讨论】：

是的，如果您尝试开始在 github 上查看 PetaPoco 的源代码。毕竟是使用SqlParameter。 github.com/CollaboratingPlatypus/PetaPoco/blob/development/…

标签： c# .net sql-injection petapoco

【解决方案1】：

是的，它确实可以防止 SQL 注入。

如果您不确定，可以通过对正在执行的 SQL 运行 SQL 跟踪来验证这一点。或者提供一些带有单引号和双引号的输入（针对 nvarchar 列），并查看是否发生运行时异常（如果 SQL 注入存在问题，则会发生这种情况）。

另见https://github.com/CollaboratingPlatypus/PetaPoco/issues/326#issuecomment-238538854：

这是正确的行为。 SQL 和参数传递给 DB 命令以防止基于注入的攻击。连接的数据库将以安全的方式将 SQL 和参数放在一起

【讨论】：