Làm thế nào để thực hiện truy vấn dữ liệu an toàn với ADO.NET trong trường hợp tên bảng hoặc tên cột cần được truyền vào động từ phía người dùng?

Question

Accepted Answer

Việc sử dụng Parameterized Queries thông thường không áp dụng được cho tên bảng hoặc tên cột (vì tham số chỉ thay thế cho giá trị dữ liệu). Để xử lý an toàn, tuyệt đối không được ghép chuỗi (concatenation) trực tiếp vì sẽ dẫn đến SQL Injection. Cách giải quyết là sử dụng danh sách trắng (Whitelist):

Định nghĩa một danh sách các bảng/cột hợp lệ trong mã nguồn. 
Kiểm tra đầu vào của người dùng so với danh sách này. 
Nếu hợp lệ, mới thực hiện ghép chuỗi vào câu lệnh SQL. 
Ví dụ: string[] allowedColumns = { "Name", "Email" }; if (allowedColumns.Contains(input)) { query = "SELECT " + input + " FROM Users"; }. Cách này đảm bảo rằng người dùng không thể can thiệp vào cấu trúc câu lệnh SQL.

Làm thế nào để thực hiện truy vấn dữ liệu an toàn với ADO.NET trong trường hợp tên bảng hoặc tên cột cần được truyền vào động từ phía người dùng?

Làm Chủ Phỏng Vấn & Nâng Cao Trình Độ Chuyên Nghiệp

Tải Tuyển Tập 100+ Câu Hỏi Phỏng Vấn Chuyên Sâu (PDF)

Cần Mentor Phỏng Vấn Thử 1-1 & Tối Ưu CV?

Kiểm Tra CV Chuẩn ATS Miễn Phí

Câu hỏi ado.net liên quan cùng chủ đề