这些函数允许访问 SQL 中的特殊函数 (SqlClient)。例如“喜欢”或“之间”。它们还为它们提供了一个更好的通用抽象层。不要与另一个问题的主题存储过程“函数”相混淆。
我似乎无法找到完整答案的问题是。它们可以安全使用,还是我将系统打开到SQL 注入攻击?在编写常规 SqlCommands 时,我总是使用绑定变量。
但是在转向实体框架。对 SQL 语句的控制较少。我不介意,但是当我连接来自浏览器的字符串并将其传递给函数时,我不禁担心。
这是一个例子:
var QueryResult = EFContext.Table.Where(x =>
SqlFunctions.PatIndex("%" + Potentially_unsafe_search_keyword + "%",
x.Column) > 0);
我做了一些测试并跟踪了发送到服务器的实际 SQL。单引号会自动转义。所以很明显那里有一些保护。正在进行一些消毒。插入语句确实使用绑定变量。我应该满足于单引号替换吗?幕后还有其他事情发生吗?