使用xpath有什么安全风险？

Question

我想将XML列添加到我的一个关键表中以保存敏感数据。我无法使用实体框架查询这些XML记录，所以我的计划是使用包含xpath查询的存储过程查询它们，然后通过实体框架调用SP。

我不知道安全风险xpath和xpath注入。有关于此的任何经验？

Answer 1

如果您不信任用户提供任意XPath表达式，则不要相信他们提供的字符串可以使用字符串连接替换为XPath表达式。使用包含外部变量（参数）的XPath表达式，并允许它们提供参数值。 （并非所有的XPath API都允许这样，恐怕我不知道实体框架是什么）。