Как защититься от sql иньекции?

Question

[addd]

Database.SqlQuery("exec sp_ ...", param)

данный код не защищен от sql иньекции, ка лучше профильтровать параметры в данном случае?

с помощью класса SqlParametrs можно защититься от sql иньекции?

Comments

[AlikDex]

валидировать данные перед поклажей, и после отдачи форматировать.

[addd]

я понимаю что валидировать, как лучше валидировать не регуляркой же. если указывать все параметры через SqlParametrs инекция пройдет?

[Сергей]

Да, через SqlParametrs инЪекция не пойдет. https://msdn.microsoft.com/en-us/library/ff648339.aspx

Answer 1

[Станислав Макаров]

с помощью класса SqlParametrs можно защититься от sql иньекции?

Можно и нужно. При использовании параметров и prepared statements значения для конкретного запроса могут передаваться вообще отдельно от синтаксиса запроса. В любом случае, за корректность будет отвечать драйвер конкретной СУБД, а не вы.

Answer 2

[Xrizolin]

ORM должна фильтровать.
Проверить что следуешь best practice: https://www.owasp.org/index.php/SQL_Injection_Prev...
А потом прогнать сканером уязвимостей. Например https://metascan.ru