Attaques d'injection contre .NET DataView RowFilter

Question

J'écris donc un gestionnaire qui filtre un DataTable mis en cache basé sur AppRelativeCurrentExecutionFilePath à l'aide de la propriété DataView RowFilter. Quelle est la meilleure façon d'encoder l'entrée pour empêcher une attaque par injection?

Est-ce suffisant? Y a-t-il un moyen meilleur/plus élégant?

dataView.RowFilter = String.Format("Name LIKE '{0}%'", EncodeString(query)); 

private string EncodeString(string s) 
{ 
    StringBuilder sb = new StringBuilder(); 
    for (int i = 0; i < s.Length; i++) 
    { 
     char c = s[i]; 
     if (c == '*' || c == '%' || c == '[' || c == ']') 
      sb.Append("[").Append(c).Append("]"); 
     else if (c == '\'') 
      sb.Append("''"); 
     else 
      sb.Append(c); 
    } 

    return sb.ToString(); 
} 

Answer 1

Vous ne pouvez pas injecter sql dans un RowFilter.

Edit: Comme l'a souligné, il est possible d'obtenir toutes les lignes de la table par injection, pourrait quelque chose comme les travaux suivants:

dataTable.AsEnumerable() 
    .Where(r => r.Field<string>("StringColumn").Contains(userInput)) 
    .ToList().ForEach(r => Console.WriteLine(r.Field<string>("StringColumn")));