大量のMySQLのLIKEクエリはSql Injectionに対して安全ですか？

Question

このクエリは、Dapperとの組み合わせでSQLインジェクションに対して安全ですか？ もしそうでなければ、MySqlの下でそれを書く正しい方法は何でしょうか？ または、コンカットを使用しないとより良いバージョンがありますか？

string sql = "SELECT * from user_profile WHERE FirstName LIKE CONCAT("%",@name,"%");" 
var result = connection.query<profile>(sql, new {name}); 

Answer 1

あなたはすべてので動的SQLを構築されていないので、これは安全です。名前は単なる通常のパラメータです。実際、Dapperとは何の関係もありません。

ここで文字列コンカットを使用するのが正しい選択です。あるいは、SUBSTRING_INDEX機能を使用することもできます。

Answer 2

は、そのコードに問題がないが、別の手法、すなわち

const string sql = "SELECT * from user_profile WHERE FirstName LIKE @name;"; 
var result = connection.Query<Profile>(sql, new {name = "%"+name+"%"});