TryParseはSQLインジェクションから保護しますか？

Question

私はリクエストにデータを連結する必要があるSQL要求を持っている：私は条件を連結する必要が

if (dataChoosen != "randomValue") 
{ 
    sCondition = " WHERE RandomField = '" + dataChoosen + "' "; 
}    
cd.CommandText = "SELECT xData FROM table " + sCondition + "GROUP BY xxx"; 

として、私は私が準備された要求を使用することができると思いませんか？

また、私はすでに 'dataChoosed'値をtryparseしています。なぜなら、それはテキストボックスから来ており、整数が必要だからです。 SQLインジェクションを防ぐのに十分なのはtryparseですか？

Answer 1

[BLANK]はSQLインジェクションから保護しますか？

[BLANK]が「パラメータ」でない限り、答えは常に「いいえ」です。

Answer 2

私はパラメータを使用するだけで、理由はありません。

if (dataChoosed != "randomValue") 
{ 
    sCondition = " WHERE RandomField = @dataChoosed "; 
}    
cd.CommandText = "SELECT xData FROM table " + sCondition + "GROUP BY xxx"; 
cd.Parameters.Add("@dataChoosed", SqlDbType.VarChar).Value = dateChoosed; 

Answer 3

いいえ、あなたは安全側にないです。

// It's good old "-1", with a bit strange format 
    // (let use "delete from table commit;" as an injection) 
    string dataChoosed = "1'; delete from table commit; --1"; 

    // A little hack: let "-" sign be... 
    CultureInfo hacked = new CultureInfo("en-US"); 
    hacked.NumberFormat.NegativeSign = "1'; delete from table commit; --"; 
    Thread.CurrentThread.CurrentCulture = hacked; 

    if (dataChoosed != "randomValue") 
    { 
     int v; 

     // since "1'; delete from table commit; --1" is of correct fotmat it will be parsed 
     if (int.TryParse(dataChoosed, out v)) 
      sCondition = " WHERE RandomField = '" + dataChoosed + "' "; 
    }    

    cd.CommandText = "SELECT xData FROM table " + sCondition + "GROUP BY xxx"; 

そして、災い：dataChoosedは無実整数値であっても、不良少年は、たとえば、と負の値の形式をあなたを傷つけることができます！私のテーブルはどこですか？ 、

SELECT xData FROM table = '1'; -- the innocent one 
    delete from table commit;  -- an arbitrary query from the attacker 

（私は--1'GROUP BY xxxフラグメントをコメントアウトを削除しました）

してください、使用パラメータ：コマンドテキストはefficently クエリで

SELECT xData FROM table = '1'; delete from table commit; --1'GROUP BY xxx 

になります私たちを誘惑しないでください。コードを変更したくないということに気をつけてください：Windowsのの国の設定を変更するだけです。