Modo sicuro di accedere alle stored procedure SQL da Entity Framework Core

Dopo i commenti, ho pensato di aggiungere una conclusione (grazie @AlexK tramite commento).

Se una procedura memorizzata viene scritta utilizzando sql dinamico non parametrizzato, Entity Framework non può proteggerla. Questo non è un difetto di Entity Framework (che, in generale, è molto bravo nella protezione sql).

Se ti trovi in una situazione simile, la procedura memorizzata deve essere riscritta usando sql dinamico parametrizzato. Una spiegazione molto valida può essere trovata qui .

Elaborare.

Entity Framework non può proteggere sql in questo modo:

CREATE PROCEDURE search_orders @custid   nchar(5)     = NULL,
                               @shipname nvarchar(40) = NULL AS
DECLARE @sql nvarchar(4000)
SELECT @sql = ' SELECT OrderID, OrderDate, CustomerID, ShipName ' +
              ' FROM dbo.Orders WHERE 1 = 1 '
IF @custid IS NOT NULL
   SELECT @sql = @sql + ' AND CustomerID LIKE ''' + @custid + ''''
IF @shipname IS NOT NULL
   SELECT @sql = @sql + ' AND ShipName LIKE ''' + @shipname + ''''
EXEC(@sql)

Ma questo sarà sicuro:

CREATE PROCEDURE search_orders @custid   nchar(5) = NULL,
                               @shipname nvarchar(40) = NULL AS
DECLARE @sql nvarchar(4000)
SELECT @sql = ' SELECT OrderID, OrderDate, CustomerID, ShipName ' +
              ' FROM dbo.Orders WHERE 1 = 1 '
IF @custid IS NOT NULL
   SELECT @sql = @sql + ' AND CustomerID LIKE @custid '
IF @shipname IS NOT NULL
   SELECT @sql = @sql + ' AND ShipName LIKE @shipname '
EXEC sp_executesql @sql, N'@custid nchar(5), @shipname nvarchar(40)',
                   @custid, @shipname

Per quanto ne so, uno qualsiasi degli esempi di codice della domanda sarebbe un codice EF "sicuro" valido (sebbene il lavoro extra sul metodo di estensione sarebbe stato un surplus rispetto ai requisiti).

Aggiornare

Successivamente, ho contattato Microsoft e creato un PR , la cui base è stata accettata. Il messaggio di avvertimento sulla documentazione ufficiale è ora più dettagliato , speriamo di ridurre la possibilità che qualcuno abbia gli stessi problemi.