Raw sql without parameters (ARCH208)

Anahtar dotnet.ef.raw-sql-without-parameters · Onem error · Kategori ef

Kullanici girdisini SQL metnine birlestirmek SQL enjeksiyonu acigi olusturur.

Hatali

var users = await _db.Users
    .FromSqlRaw("SELECT * FROM Users WHERE Name = '" + name + "'")
    .ToListAsync();

Dogru

var users = await _db.Users
    .FromSql($"SELECT * FROM Users WHERE Name = {name}")
    .ToListAsync();

Duzeltme

Interpolasyonlu FromSql veya parametre kullanin; degerleri asla string ile birlestirmeyin.