LINQ和SQL注入

Question

可能重複：
Will using LINQ to SQL help prevent SQL injection

我使用LINQ來訪問SQL數據庫。下面的代碼是否安全？

var addRec = (from p in db.5544 
          where p.ID == newAddID 
          select p).Single(); 

      addRec.Address1 = comAddTxt1.Text;                    //create address record 
      addRec.Address2 = comAddTxt2.Text; 
      addRec.Address3 = comAddTxt3.Text; 
      addRec.Address4 = comAddTxt4.Text; 
      addRec.PostCode = pstCdeTxt.Text; 
      addRec.Town = twnTxt.Text; 
      addRec.County = cntyTxt.Text; 
      addRec.Country = cntComBox.SelectedItem.Text; 

      db.SubmitChanges(); 

感謝，

Answer 1

是的，它從SQL注入攻擊是安全的。

不，它可能對其他形式的攻擊是不安全的，即：相關的跨站點腳本等。

Answer 2

爲了減少XSS的攻擊風險在Web應用程序的數據庫中檢索時，你應該的HTMLEncode數據。

Answer 3

我建議嘗試調用一個存儲過程，並將值作爲參數發送，以便它可以爲您提供參數檢查。例如，如果將'@ Address1'聲明爲varchar（200），那麼如果該參數包含sql語句，存儲過程將不會執行。

您也可以在時間之前通過比較它與正則表達式來檢查字段，但這可能會花費更多的精力，並且不像使用存儲過程那樣安全。