此LINQ语句是否容易受到SQL注入的影响？

这是LINQ统计容易受SQL注入？此LINQ语句是否容易受到SQL注入的影响？

var result = from b in context.tests 
    where b.id == inputTextBox.Text 
    select b;

其中上下文是一个实体和测试是一个表。我试图学习LINQ，我认为它的好处是它不容易被sql注入，但是我看到的一些东西有不同的说法。我需要参数化这个LINQ语句以使它更安全吗？如果是这样，怎么样？

也将这被认为是LINQ到SQL或LINQ实体？

来源

2010-09-29 Peter

简短的回答：LINQ是不容易受到SQL注入。

龙答：

LINQ是不是像SQL。在后台有一个完整的库，它可以从代码中编译器生成的表达式树构建SQL，将结果映射到对象 - 当然，这样做会使得事情变得安全。

见LINQ to SQL FAQ：

问：如何是LINQ to SQL的保护 SQL注入攻击？

答：SQL注入对于通过连接用户输入形成的传统SQL 存在重大风险。 LINQ to SQL通过在查询中使用SqlParameter避免了这样的注入。用户输入变为参数值。这种方法可防止从客户输入中使用恶意命令。

在内部，它意味着当LINQ到SQL查询数据库，而不是使用简单的值，它通过它们作为SQL参数，这意味着它们可以从未被作为由数据库的可执行代码进行处理。大多数（如果不是全部的话）ORM映射器也是如此。

比较这两种方法（完全伪代码）：

string name = "' ; DROP DATABASE master --" 
run ("SELECT * FROM Authors WHERE Name = '" + name + "'") // oops! 

// now we'd better use parameters 
SqlParameter name = new SqlParameter ("@name", "' ; DROP DATABASE master --") 
run ("SELECT * FROM Authors WHERE Name = @name", name) // this is pretty safe

我建议你更深入地研究什么LINQ语句的实际含义和何时以及如何得到它们转换为真正的SQL。您可能想了解LINQ standard query operator translation，deferred execution，different LINQ providers等等。在LINQ的情况下，就像任何抽象技术一样，这对于了解幕后发生的事情来说既迷人又非常有用。

P.S.每当我看到一个关于SQL注入的问题时，我都忍不住想起这个webcomic。

sql injection