Ist diese Art der Ausführung von SQL Injection sicher?

Question

Beispielcode von DAL:

Ich verwende C# und SQL Server als Datenbank.

schrieb ich Singletons von Datenbankobjekt, und Beispiel Funktion, die Prozedur von MSSQL exceute, DbCommand und Datenbank-AddInParameter mit

ich Themen gefunden, die über parametes und SQL-Injection spricht aber ich darüber wissen wollen spezifische Art und Weise

private Database m_db; 
public Database getDB 
{ 
     get 
     { 
      if(m_db == null) 
        m_db = DatabaseFactory.CreateDatabase("ConnectionString"); 
      return m_db; 
     } 
} 


public void Example(string Name) 
{ 
    DbCommand dbcmd = getDB.GetStoredProcCommand("dbo.Example"); 
    getDB.AddInParameter(dbcmd, "p_Name", DbType.String, Name); 
    getDB.ExecuteNonQuery(dbcmd); 
} 

dank

Answer 1

Das dbo.Example Verfahren kann auf jeden Fall noch eine qu ausführen ery, die nicht sicher ist, zum Beispiel:

create proc dbo.Example (@pName varchar(100)) 
as 
    declare @cmd varchar(max); 
    set @cmd = 'select Somedata from Sometable where Somecolumn = '+ @pName; 
    exec (@cmd); 

Sichere Code verwendet proc-Parameter in einer Abfrage genau als Parameter

create proc dbo.Example (@pName varchar(100)) 
as 
    select Somedata from Sometable where Somecolumn = @pName;