C＃安全地构建一个SQL字符串以使用实体框架执行

Question

我正在通过.SqlQuery(string sql)命令使用EF执行一些SQL 。

我想确保我的sql字符串完全干净，因此逻辑方法是使用SqlCommand带有参数的对象来构建它。

但是我不想使用SqlCommand来执行它，我只是想让SqlCommand吐出一个可以插入到EF.SqlQuery(...)调用中的字符串。

有没有办法做到这一点，或者有另一种确保我.SqlQuery不会注射的方法？

Answer 1

EF是否不开箱即用？

您应该能够SqlQuery使用参数进行调用，因此它将像SqlCommand处理SQL注入一样处理：

var tests = context.Database.SqlQuery<Test>(
    @"SELECT Id, Name FROM tests where Name={0}", "TestName");

或者..

var tests = context.Database.SqlQuery<Test>(
    @"SELECT Id, Name FROM tests where Name=@name", 
    new SqlParameter("@name", "TestName"));