सी # सुरक्षितता फ्रेमवर्क

Question

का उपयोग करके निष्पादित करने के लिए सुरक्षित रूप से एक SQL स्ट्रिंग का निर्माण करें। मैं .SqlQuery(string sql) कमांड के साथ ईएफ का उपयोग करके कुछ SQL निष्पादित कर रहा हूं।

मैं यह सुनिश्चित करना चाहता हूं कि मेरी एसक्यूएल स्ट्रिंग पूरी तरह से स्वच्छ हो गई है, इसलिए तर्क दृष्टिकोण SqlCommand ऑब्जेक्ट को बनाने के लिए पैरामीटर के साथ उपयोग करना था।

हालांकि मैं इसे SQLLommand का उपयोग करके निष्पादित नहीं करना चाहता, मैं बस एसक्यूएल कॉमांड को एक स्ट्रिंग थूकना चाहता हूं जिसे मैं अपने ईएफ .SqlQuery(...) कॉल में प्लग कर सकता हूं।

क्या ऐसा करने का कोई तरीका है, या मेरे .SqlQuery को सुनिश्चित करने का एक और तरीका इंजेक्शन का परिणाम नहीं देगा?

Answer 1

ईएफ का समर्थन बॉक्स से बाहर नहीं है?

आप मानकों के साथ SqlQuery कॉल करने के लिए सक्षम होना चाहिए, तो यह एसक्यूएल इंजेक्शन आदि का ख्याल रखेंगे, SqlCommand जैसे करता है:

var tests = context.Database.SqlQuery<Test>(
    @"SELECT Id, Name FROM tests where Name={0}", "TestName"); 

या ..

var tests = context.Database.SqlQuery<Test>(
    @"SELECT Id, Name FROM tests where Name=@name", 
    new SqlParameter("@name", "TestName")); 

Answer 2

एसक्यूएल कॉमांड की कमांडटेक्स्ट संपत्ति प्राप्त करें।

string query = cmd.CommandText; 

foreach (SqlParameter p in cmd.Parameters) 
{ 
    query = query.Replace(p.ParameterName, p.Value.ToString()); 
}