Выбор ответа Senior EF Core обновлено
Сырой SQL и инъекции
Вопрос
Какой вызов уязвим к SQL-инъекции?
Попробуйте сами
Выберите вариант, и откроется разбор.
Показать ответ и разбор
Коротко
Правильный ответ: db.Users.FromSqlRaw("SELECT FROM users WHERE name = '" + name + "'"). Склейка строки вставляет пользовательский ввод прямо в SQL.
Варианты ответа
db.Users.FromSql($"SELECT * FROM users WHERE name = {name}")db.Users.FromSqlInterpolated($"SELECT * FROM users WHERE name = {name}")db.Users.FromSqlRaw("SELECT * FROM users WHERE name = {0}", name)db.Users.FromSqlRaw("SELECT * FROM users WHERE name = '" + name + "'")правильный ответ
Разбор
Склейка строки вставляет пользовательский ввод прямо в SQL. FromSql и FromSqlInterpolated принимают FormattableString и превращают каждое {name} в параметр. FromSqlRaw с плейсхолдером {0} и отдельным аргументом тоже параметризует. Опасна именно конкатенация или интерполяция, заранее превращённая в обычную строку и переданная в FromSqlRaw.
Ответьте сами, а не прочитайте
В тренажёре вопрос попадёт в повторения и вернётся, когда начнёт забываться. Плюс билеты с зачётом: 20 вопросов, не больше 2 ошибок.