Entity Frameworkの

Question

var retval = db.TestTable.SqlQuery("SELECT * FROM dbo.TestTable WHERE " + aColumn + " = '" + passedInValue + "'"); 

// normally when using parameters I would do something like this: 
var valueParam = SqlParameter("aValue", passedInValues); 
var retval = db.TestTable.SqlQuery("SELECT * FROM dbo.TestTable WHERE Column1 = @aValue", valueParam); 
// NOTE: I would not do this at all. I know to use LINQ. But for this question, I'm concentrating on the issue of passing variables to a raw sql string. 

ではなく、列と値の両方がで「パラメータ」されているので、生のSQLを安全に作る：

var retval = db.TestTable.SqlQuery("SELECT * FROM dbo.TestTable WHERE " + aColumn + " = '" + passedInValue + "'"); 

、両方のSQLインジェクションを防ぐためにあるのでしょうか？

Answer 1

first：whilelist aColumn：これは文字列の連結によって追加する必要がありますが、データベースのどの列がわかるか（またはスキーマビューを使用して確認できます）。

第2：エンティティフレームワークでは、表示するとおり、クエリの値にパラメータを使用できます。ただし、SqlParameterインスタンスを作成するのではなく、値を渡して@p0、@p1、...を使用することができます。 SQLインジェクションを防ぐために

Answer 2

正しい方法はSqlParameterとSqlQuery<T>を使用することです：

var parameter = new SqlParameter("@title", value); 
var result = context.Database.SqlQuery<Book>("SELECT * FROM Books WHERE Title LIKE @title", parameter); 

http://ignoringthevoices.blogspot.ru/2013/07/sql-injection-with-entity-framework-5.html