SQL Injection on Views

Question

Мы используем 3-уровневую архитектуру в ASP.Net.

Есть 3 слоя

1. презентации
2. Бизнес
3. Доступ к данным

уровня доступа к данным и т.д. содержит функцию GetData и ExecuteQuery. Что я хочу знать, так это то, что вы хотите вызвать View непосредственно из уровня презентации. Есть ли вероятность внедрения SQL при вызове представления из front-end без использования хранимой процедуры?

Presentation Layer (C#)

protected void btnView_Click(object sender, EventArgs e) 
     { 
      DL obj = new DL(); 
      DataTable tb = new DataTable(); 
      string query = "select * from ViewTeacher where FID = " + txtName.Text; 

      tb = obj.GetData(query); 

     } 

DBAccess

public DataTable GetData(string query) 
     { 
      DataTable datatable = new DataTable(); 
      SqlCommand cmd = new SqlCommand(); 
      cmd.Connection = con; 
      cmd.CommandText = query; 

      try 
      { 
       if (cmd.Connection.State != ConnectionState.Open) 
       { 
        cmd.Connection.Open(); 
       } 
       using (SqlDataAdapter da = new SqlDataAdapter(cmd)) 
       { 
        da.Fill(datatable); 
       } 
      } 
      catch (Exception ex) 
      { 

       throw new ArgumentException(ex.Message); 
      } 
      return datatable; 
     } 

Answer 1

Как вы "называя вид"? Если вы работаете одноранговой запрос на:

SELECT <columns> FROM View WHERE ColumnX = 'Y' 

и если этот запрос строится с использованием (потенциально) враждебное вход, то да, конечно, что может быть предметом SQL инъекции - все точки инъекции является то, что злоумышленник может изменить характер запроса:

SELECT <columns> FROM View WHERE ColumnX = 'Z' 
UNION ALL 
SELECT name,0,0,0,0 FROM INFORMATION_SCHEMA.TABLES --' 

атакующий не ограничивается только объекты, которые присутствуют в исходном запросе.

---

подозрительный вход в двух вышеуказанных запросов было:

Y 

и

Z' 
UNION ALL 
SELECT name,0,0,0,0 FROM INFORMATION_SCHEMA.TABLES -- 

Answer 2

Там не должно быть никаких шансов SQL Injection при вызове вид с переднего конца, как представления не принимайте параметры.
ссылка: can we pass parameter to a view in sql?

Answer 3

Как вы пишете запрос следующим образом, что принимает значение из текстового поля, 100% есть возможность вешать для SQL инъекций.

string query = "select * from ViewTeacher where FID = " + txtName.Text;