Eval für Sicherheitsbedenken?

Question

I Dokumentation über „Eval ist böse“ spricht gefunden, ich habe es hat Leistungsprobleme zu verstehen, auch MSDN sie mitteilen:

Da diese Methode Auswertung spät gebundene führt, Reflexion zur Laufzeit verwendet wird, kann es dazu führen, Leistung merklich langsam im Vergleich zu Standard ASP.NET-Datenbindungssyntax - MSDN

aus dem Leistungsproblem und unter Berücksichtigung des folgenden Code:

<%# Eval("MyDataFieldFromDataBase") %> 

Kann etwas getan werden, um zu verhindern, dass das Feld auf gefährliche Weise interpretiert wird (um Code-Injection zu verhindern)?

Answer 1

Ich glaube, Sie sprechen über einige verschiedene Eval, nicht ASP.NET's. Eval in Aspx ist nur ein method, es ist so schädlich wie alle anderen Methoden.

Ein mögliches Problem damit ist, dass Eval ein Objekt zurückgibt, so dass Sie eine ungültige Cast-Ausnahme erhalten können, wenn Sie diesen bestimmten Typ nicht erwartet haben. Sie haben also keine Art Sicherheit mit Eval auf der Seite.

Eine andere Sache ist, dass Eval keine Art von Flucht, also wenn Sie potentiell gefährlichen Inhalt in Ihrer DB haben, wird es so wie von Eval zurückgegeben wird. Aber das ist kein Eval-spezifisches Problem, Sie müssen nur sicherstellen, dass Sie alle Benutzereingaben bereinigen, Eval hat damit nichts zu tun.

Anders als das ASP.NET Eval ist völlig harmlos.