Tags:    .net Jeg vil i den her "Best Practices" serie af artikler fokusere på et par grundlæggende best practices omhandlende brug af ADO.NET.
Artiklerne er affødt af at mange tilsyneladende ikke er bekendt med de forskellige faldgruber der kan opstå når man laver databasetilgang via ADO.NET og jeg vil her forsøge at rette op på nogle af disse. Vi starter i denne artikel blødt ud med at se på hvordan man overkommer et af de mest gængse sikkerhedsproblemer når man arbejder med databasetilgang.

SQL Injections

Enemy #1 og ikke uden grund. Ikke nok med at man alt for ofte ser semi-professionelle sites der overhovedet ikke beskæftiger sig med dette problem og som konsekvens er hullet som en si, når folk endelig håndterer det så er det somregel med en løsning der går ud på at replace tegnet single-qoutes i den ene eller anden udgave.

Det er som udgangspunkt også effektivt nok, det største problem i den forbindelse er at man kan glemme at replace en string inden den indsættes i SQL'en. Kan det lade sig gøre at glemme noget sådant, så er det blot et spørgsmål om tid før det rent faktisk sker!

Parameters

Løsningen er egentlig ganske enkel. Istedetfor at indsætte værdierne direkte i SQL'en, anvender man istedet parameters til formålet.

Det har minimum 2 fordele:

- Parameters beskytter automatisk mod SQL Injections
- Parameters gør SQL'en mere overskuelig

Så istedetfor den "gængse" løsning:

string sql = "UPDATE User SET Name = '" + GetValidText(NameTextBox.Text) + "', Username = '" + GetValidText(UsernameTextBox.Text) + "' WHERE ID = " + UserID; 

Anvendes istedet parameters, som mange af jer formentlig kender fra Stored Procedures.
Disse kan dog også anvendes til ganske almindelige SQL kald og det er det vi her vil gøre brug af:

string sql = "UPDATE User SET Name = @name, Username = @username WHERE ID = @id";

Man sætter så dataene efterfølgende via Parameter collectionen der udbydes af IDbCommand objektet, i dette eksempel benytter jeg den specialiserede udgave til SQL Server:

string sql = "UPDATE User SET Name = @name, Username = @username WHERE ID = @id";
using (SqlConnection conn = new SqlConnection(connstr)) {
  conn.Open();
  using (SqlCommand command = new SqlCommand(sql, conn)) {
    command.Parameters.Add("@name", SqlDbType.VarChar).Value = NameTextBox.Text;
    command.Parameters.Add("@username", SqlDbType.VarChar).Value = UsernameTextBox.Text;
    command.Parameters.Add("@id", SqlDbType.Int).Value = UserID;
    command.ExecuteNonQuery();
  }
  conn.Close();
}

Ulempen som det også fremgår af ovenstående er så at det hele kommer til at fylde lidt mere kode, dette synes jeg dog personligt ikke er et problem når man tager den øgede gennemskuelighed af SQL koden i betragtning og den sidegevinst at man helt slipper for at bekymre sig om SQL Injections.

Best Practice råd: Brug altid parameters til indsættelse af data i SQL sætninger, medmindre der er en meget god grund til at gøre en undtagelse.

Fodnote: Bemærk at parameters desværre ikke kan benyttes i WHERE IN (...) sætninger og at en replace af single-quote tegnet i dette tilfælde ikke løser problemet. Sørg derfor altid for at være særlig opmærksom på brug af denne konstrukt og lav passende input validering.

Hvad synes du om denne artikel? Giv din mening til kende ved at stemme via pilene til venstre og/eller lægge en kommentar herunder.

Del også gerne artiklen med dine Facebook venner:  

Karma barometer (30 dage)

IT jobs | Kontakt | Om Udvikleren.dk | Om karma | IT nyheds arkiv | Annoncering

X