VeraCode报告ServiceStack OrmLite对SQL命令（“SQL注入”）中使用的特殊元素不正确中和（CWE ID 89）

Question

ServiceStack.OrmLite.dll       GridReader DapperMultiple(System.Data.IDbConnection, string, object, System.Data.IDbTransaction,System.Nullable<int>, System.Nullable<System.Data.CommandType>)

ServiceStack.OrmLite.dll       int ExecuteCommand(System.Data.IDbConnection, System.Data.IDbTransaction, string, System.Action<System.Data.IDbCommand,object>, object, System.Nullable<int>, System.Nullable<System.Data.CommandType>)

ServiceStack.OrmLite.dll       int ExecuteDapper(System.Data.IDbConnection, string, object, System.Data.IDbTransaction, System.Nullable<int>, System.Nullable<System.Data.CommandType>)

ServiceStack.OrmLite.dll       object Scalar(System.Data.IDbCommand, string)

ServiceStack.OrmLite.dll       System.Data.IDataReader ExecReader(System.Data.IDbCommand, string)

ServiceStack.OrmLite.dll       System.Data.IDataReader ExecReader(System.Data.IDbCommand, string, System.Collections.Generic.IEnumerable<System.Data.IDataParameter>)

Answer 1

嗯？所有这些演示都是OrmLite API的，让您执行一个原始SQL字符串？最后，每个ORM都将使用ADO.NET的底层API来执行原始SQL。

大多数OrmLite API都是在其值被转义和保护免受SQL注入攻击的情况下进行类型化的。但由于OrmLite是一个多功能的ORM，它还提供了自定义API，使您可以执行原始SQL，但即使在这种情况下，您也可以通过使用参数化查询来防止SQL注入：

List<Person> results = db.SqlList<Person>(
    "SELECT * FROM Person WHERE Age < @age", new { age=50});

List<Poco> results = db.SqlList<Poco>(
    "EXEC GetAnalyticsForWeek @weekNo", new { weekNo = 1 });

此外，前几行看起来像是来自Dapper的实习生版本，这是另一个嵌入OrmLite中的微ORM，为了方便起见，但OrmLite本身没有使用。像OrmLite一样，它提供了自定义SQL API，这也允许您使用参数化参数，并且可以抵御SQL注入攻击。