حمله sql injection در صورت استفاده از linq

[میلاد قاضی پور]

سلام. من از کوئری های linq برای انجام عملیات روی دیتابیس استفاده میکنم . آیا باید باز هم نگران حملات injection باشم و فرقی نداره که برای ارتباط با دیتابیس از لینک استفاده کنم یا کوئری های sql ?

[mehdi.mousavi]

سلام. من از کوئری های linq برای انجام عملیات روی دیتابیس استفاده میکنم . آیا باید باز هم نگران حملات injection باشم و فرقی نداره که برای ارتباط با دیتابیس از لینک استفاده کنم یا کوئری های sql ?

سلام.
در حالت طبیعی، چون دستورات LINQ to SQL قبل از اجرا به SqlParameter ها تبدیل میشن و اجرای Parametric Command ها مشکل Injection رو در پی نداره، خیر. نیازی نیست نگران SQL Injection باشید. اما متاسفانه LINQ متودی داره به اسم ExecuteQuery (http://idunno.org/archive/2009/04/20/linq-and-sql-injection.aspx) که از توضیحات قبلی پیروی نمیکنه، در نتیجه، استفاده از اون می تونه Application رو در برابر حملات SQL Injection آسیب پذیر کنه.

موفق باشید.