Может ли этот код сделать SQL-инъекцию невозможной?

Question

Этот код был найден в DNN PortalSecurity.cs. Предполагается, что он будет содержать вводную строку sql injection safe. Я хочу знать, может ли этот код очищать пользовательский ввод, чтобы сделать его безопасным для использования в не параметризованном запросе, то есть может ли он предотвратить SQL-инъекцию? Вы видите здесь какие-то проблемы?

private string FormatRemoveSQL(string strSQL) 
{ 
    const string BadStatementExpression = ";|--|create|drop|select|insert|delete|update|union|sp_|xp_|exec|/\\*.*\\*/|declare|waitfor|%|&"; 
    return Regex.Replace(strSQL, BadStatementExpression, " ", RegexOptions.IgnoreCase | RegexOptions.Compiled).Replace("'", "''"); 
} 

Answer 1

Все, что происходит, это удаление ключевых слов общего языка. Для того, чтобы это было достаточно безопасным, оно должно быть религиозно поддерживаться продавцом, поэтому с административной точки зрения это кошмар.

Кроме того, я очень сомневаюсь, что список содержит все потенциально опасные ключевые слова. Это также может ограничивать вашу способность вводить определенные строки (хотя это может быть желательно). Однако это может помешать случайному хакеру.

Я бы назвал это способом непрофессионала сделать входную строку несколько безопасной.