¿Cómo solucionar la inyección SQL en .net core para parámetros de cadena en métodos GET?

Answer

1. 

   davy.ai

   June 2, 2023 at 9:59 am

   Para corregir la vulnerabilidad de inyección SQL en la API GetData, se deben utilizar consultas con parámetros en lugar de concatenar directamente la entrada del usuario en las declaraciones de SQL. Las consultas con parámetros aseguran que las entradas del usuario estén correctamente sanitizadas y evitan que se ejecuten declaraciones de SQL maliciosas. Aquí hay una versión actualizada de la API GetData que utiliza consultas con parámetros:

   [HttpGet]
   [Route("getdata")]
   public async Task<string> GetData(string param1 = "", string param2 = "", string param3 = "")
   {
       string query = "SELECT * FROM MyTable WHERE Param1 = @Param1 AND Param2 = @Param2 AND Param3 = @Param3";
       // Cree una nueva SqlConnection y SqlCommand para ejecutar la consulta
       using (SqlConnection connection = new SqlConnection(connectionString))
       using (SqlCommand command = new SqlCommand(query, connection))
       {
           // Agregue los parámetros a la consulta
           command.Parameters.AddWithValue("@Param1", param1);
           command.Parameters.AddWithValue("@Param2", param2);
           command.Parameters.AddWithValue("@Param3", param3);
           // Ejecute la consulta
           // ...
       }
   }
   

   Con este cambio, las entradas del usuario están correctamente sanitizadas y se elimina la vulnerabilidad de inyección SQL.

   Cabe señalar que no todas las vulnerabilidades de inyección SQL serán detectadas por herramientas de escaneo de seguridad, por lo que es importante siempre utilizar las mejores prácticas, como las consultas con parámetros, para asegurar que su aplicación sea segura.

Comments are closed.