Checkmarx:c语言中的二阶SQL注入攻击#

Question

我如何满足静态代码分析工具（在这种情况下是校验），以下方法没有问题：

public OdbcDataReader ExecuteQuery(string sql)
{
   var cmd = new OdbcCommand(sql, connection);
   return cmd.ExecuteReader();
}

Checkmarx告诉我：

方法ExecuteQuery从ExecuteReader元素获取数据库数据。然后，该元素的值在代码中流动，而没有经过适当的清理或验证，并最终用于方法ExecuteQuery中的数据库查询。这可能会导致二阶SQL注入攻击。

Answer 1

这样做让马克思感到满意：

public OdbcDataReader ExecuteQuery(string sql)
{
    var cmd = new OdbcCommand(sql.Replace("'", ""), connection);
    return cmd.ExecuteReader();
}

有趣的是，我自己扫描了这个方法，但使用命令并不能满足它：

public OdbcDataReader ExecuteQuery(string sql)
    {
        OdbcCommand cmd = connection.CreateCommand();
        cmd.CommandText = sql;
        return cmd.ExecuteReader();
    }