SQL Injection и EntityFramework, насколько использование ORM предотвращает такие атаки?

Question

[Роман]

Насколько использование ORM предотвращает SQL Injection, по идее ORM использует параметризированные запросы и экранирует все спецсимволы, или есть способ провести данную атаку, например при использовании LINQ?

Answer 1

[Дмитрий Ковальский]

Все зависит от того что на что вы мапите. В идеальном случае - полностью. По факту - вы можете замапить некую хранимку, которая принимает некий строковый параметр,а внутри себя делает
exec(@query)
И вот тут у вас будет потенциальная инъекция прямо в базе.
C ORM вообще и EF+LINQ в частности проблема другая - если вы будете на сервер приложения тащить всю таблицу, а уже потом ее фильтровать и сортировать. А может и искать по ней - то это будет адски медленно и нудно. Получится бутылочное горлышко, которое не переживет нагрузку.

Comments

[Роман]

Просто есть Code-First или DB-First модель, интересует именно это, обращение к БД через модель и использование LINQ.

LINQ в первую очередь все таки это отложенное выполнение, например dbset.where не будет всю таблицу тащить, в отличии dbset.ToList().Where

[Дмитрий Ковальский]

Роман: Ну инъекции вы таким методом победите. Если конечно собственным хитрым кодом не пророете тунель под ламаншем. А вот то что вы говорите про "отложенное выполнение" не сходится с моим пониманием LINQ. Во что по вашему разворачивается код типа вашего dbset.where(predicate). В единственный sql запрос?

[Роман]

При отложенном выполнении, запрос не будет выполнятся, пока не будет вызвано перечисление коллекции, например через foreach или например методы ToList() или ToEnumerable(). dbset.where(predicate) компилируется в единственный SQL запрос, результаты которого потом возвращаются. Подробнее https://msdn.microsoft.com/ru-ru/library/bb386964(...

то, что запрос выполняется один раз, покажет SQL Server Profiler.

[Дмитрий Ковальский]

Роман: не подумайте что я вас валю или отговариваю. Просто ни я ни мой руководитель не доверяем генерации sql. Да и доступ к базе огорожен анально до хранимых процедур. приложение технически ничего не может сделать с данными кроме того что делают хранимки, а там sql под полным контролем