エンティティフレームワークのセキュリティとインジェクション

Question

私のアプリケーションでEFを使用しています。
EFに使用する必要があるセキュリティまたは注入パターンはありますか？

Answer 1

EFはparamaterisedクエリを自動的に使用しますが、SQLインジェクションのリスクはありません。

これは自動的にアプリケーションを安全にするとは限りません。

ウェブアプリケーションで必要となる主要なセキュリティ機能の1つは、公開している「直接オブジェクト参照」を保護することです。あなたは、URL内のIDを変更した場合

/viewmyorder.aspx?id=20

：

は、サンプルのURLを取ることができます、あなたはショッピングカートのトランザクションを完了し、これはあなたがで終了ページであると言います19、18、17のいずれかを選択すると、他の顧客の注文を表示することができます。

「あなたの入力を信頼しないでください」というコードでは、データベースキーが改ざんの主な候補です。

フォームの投稿、URLのキー/値、またはCookieに基づいてアイテムを取得する場合は、現在のユーザーにそのアイテムにアクセスする権限があることを確認してください。