Dapper MySql güvenli sorgulama Sql Enjeksiyon karşı?

Question

Bu sorgu Dapper ile birlikte sql enjeksiyonuna karşı güvenli midir? Değilse, MySql altında yazmanın doğru yolu ne olurdu? Ya da concat kullanmadan daha iyi bir sürümü var mı? Eğer tüm dinamik SQL bina olmadığı için

string sql = "SELECT * from user_profile WHERE FirstName LIKE CONCAT("%",@name,"%");" 
var result = connection.query<profile>(sql, new {name}); 

Answer 1

Bu güvenli olduğunu. İsim sadece normal bir parametredir. Aslında, Dapper ile ilgisi yok.

Burada bir dizgi concat kullanarak doğru seçimdir. Alternatif olarak, SUBSTRING_INDEX işlevini kullanabilirsiniz.

Answer 2

bu kodu ile ilgili bir sorun değil, ama başka bir yaklaşım, yani

const string sql = "SELECT * from user_profile WHERE FirstName LIKE @name;"; 
var result = connection.Query<Profile>(sql, new {name = "%"+name+"%"});