使用xpath有什麼安全風險？

Question

我想將XML列添加到我的一個關鍵表中以保存敏感數據。我無法使用實體框架查詢這些XML記錄，所以我的計劃是使用包含xpath查詢的存儲過程查詢它們，然後通過實體框架調用SP。

我不知道安全風險xpath和xpath注入。有關於此的任何經驗？

Answer 1

如果您不信任用戶提供任意XPath表達式，則不要相信他們提供的字符串可以使用字符串連接替換爲XPath表達式。使用包含外部變量（參數）的XPath表達式，並允許它們提供參數值。 （並非所有的XPath API都允許這樣，恐怕我不知道實體框架是什麼）。