3

SQL Server 2005 にアセンブリとして追加される SQL CLR プロジェクトがいくつかあります。これらは、アセンブリを起動するストアド プロシージャを介して Web アプリからアクセスされます。

SQL アセンブリでの SQL インジェクションを防止するためのベスト プラクティスとは?

アセンブリには、おかしな SQL ステートメントを作成する一連のコードがあります (例)。

        sqlBuff.Append("SELECT ");
        //  Always put replicate weight values on the first.
        sqlBuff.Append(colBuff.ToString());

        sqlBuff.AppendLine(" FROM ");
        String tableNames = colTabNameHelper.GetTableNameList(colNames);
        String joinStr = colTabNameHelper.CreateJoinStr(tableNames);

        sqlBuff.Append(joinStr);
        sqlBuff.AppendLine(" WHERE (");

        sqlBuff.Append(inMatrix.WeightVar);

ここでも注射を予防できますか？または、.NET/SQL Server は役に立ちますか? これについて心配する必要がありますか？

4

1 に答える 1

2

インジェクション攻撃を回避する最も確実な方法は、パラメータを使用することです。これらを組み込みアセンブリで使用できますか？

于 2012-11-30T01:23:30.963 に答える