.NET DataView RowFilter에 대한 인젝션 공격

Question

DataView RowFilter 속성을 사용하여 AppRelativeCurrentExecutionFilePath를 기반으로 캐싱 된 DataTable을 필터링하는 처리기를 작성하고 있습니다. 주입 공격을 방지하기 위해 입력을 인코딩하는 가장 좋은 방법은 무엇입니까?

다음 중 충분한 것이 있습니까? 더 나은 /보다 우아한 방법이 있습니까?

dataView.RowFilter = String.Format("Name LIKE '{0}%'", EncodeString(query)); 

private string EncodeString(string s) 
{ 
    StringBuilder sb = new StringBuilder(); 
    for (int i = 0; i < s.Length; i++) 
    { 
     char c = s[i]; 
     if (c == '*' || c == '%' || c == '[' || c == ']') 
      sb.Append("[").Append(c).Append("]"); 
     else if (c == '\'') 
      sb.Append("''"); 
     else 
      sb.Append(c); 
    } 

    return sb.ToString(); 
} 

Answer 1

RowFilter에는 sql을 삽입 할 수 없습니다.

편집 :

dataTable.AsEnumerable() 
    .Where(r => r.Field<string>("StringColumn").Contains(userInput)) 
    .ToList().ForEach(r => Console.WriteLine(r.Field<string>("StringColumn")));