Inyecciones de SQL en Sharepoint Enterprise SQL sintaxis de búsqueda

Question

Estoy diseñando un elemento web en el que los usuarios pueden ingresar una frase de búsqueda. Se busca el índice MOSS Search para eso. Yo uso la clase FullTextSqlQuery para buscar.

Cuando creo mi declaración select, aparentemente tengo que usar la concatenación para incluir la entrada del usuario en ella. La DECLARACIÓN final debe ser algo como esto:

SELECT title, author from portal..scope() 
WHERE ("SCOPE" = 'TheDocuments') 
AND CONTAINS(MYPROPERTY, 'TheValueThatuserSpecified') 

Por lo tanto, la pregunta es, ¿cómo puedo evitar inyecciones SQL de entrada del usuario (?)? ¿Hay alguna función de utilidad específica para eso? En proyectos de php/mysql usaría mysql_real_escape_string. ¿Algo similar en espacios de nombres de SharePoint?

Answer 1

no he encontrado ninguna función para codificar la entrada del usuario así que creé mi propio método:

protected override string EncodeUrlParameter(string paramValue) 
{ 
    StringBuilder sb = new StringBuilder(); 
    for (int i = 0; i < paramValue.Length; i++) 
    { 
     char c = paramValue[i]; 
     if (c == '*' || c == '%' || c == '[' || c == ']' || c == '_') 
      sb.Append("[").Append(c).Append("]"); 
     else if (c == '\'') 
      sb.Append("''"); 
     else 
      sb.Append(c); 
    } 
    return sb.ToString(); 
} 

Esto se utiliza principalmente para los parámetros filtrados usando la palabra clave LIKE (the documentation page has a note about this) . Lo más importante que encontré fue cuando las personas intentaron incluir apóstrofes en sus consultas.

Answer 2

La clase FullTextSqlQuery toma una consulta "texto de SQL", que no es cierto sql. El "sql de texto completo" es analizado y convertido a sql normal en consulta en la tabla en la base de datos del servidor sql y consulta en un archivo de índice externo . No hay forma de que haga la inyección sql a través de "texto completo sql", no pasará la validación. Los "nombres de columna" que usa en "completo texto sql" deben ser "propiedades administradas" válidas que están configuradas en Administración de búsqueda , no apuntan a nombres reales de columna en una tabla.

http://www.sharepointdev.net/sharepoint--search/is-fulltextsqlquery-protected-against-sql-injection-35184.shtml