从删除同步跟踪表代码中删除 SQL 注入漏洞

Question

我正在应用程序中使用Microsoft同步框架进行数据同步。
为了删除跟踪表，我使用以下代码。

SqlCommand comm;
StringBuilder sb = new StringBuilder();
//Drop tracking table & triggers
sb.AppendFormat(@"
IF EXISTS (SELECT * FROM sys.objects WHERE object_id = OBJECT_ID(N'[dbo].[{0}_tracking]') AND type in (N'U'))
DROP TABLE [dbo].[{0}_tracking]
IF EXISTS (SELECT * FROM sys.triggers WHERE object_id = OBJECT_ID(N'[dbo].[{0}_insert_trigger]'))
DROP TRIGGER [dbo].[{0}_insert_trigger]
IF EXISTS (SELECT * FROM sys.triggers WHERE object_id = OBJECT_ID(N'[dbo].[{0}_delete_trigger]'))
DROP TRIGGER [dbo].[{0}_delete_trigger]
IF EXISTS (SELECT * FROM sys.triggers WHERE object_id = OBJECT_ID(N'[dbo].[{0}_update_trigger]'))
DROP TRIGGER [dbo].[{0}_update_trigger]", tableName);
foreach (string procName in new string[] { "delete", "deletemetadata", "insert",    "insertmetadata", "update", "updatemetadata", "selectrow", "selectchanges" })
        {
sb.AppendFormat(@"IF EXISTS (SELECT * FROM sys.objects WHERE object_id = OBJECT_ID(N'[dbo].[{0}_{1}]')  AND type in (N'P', N'PC'))
DROP PROCEDURE [dbo].[{0}_{1}]", tableName, procName);
        }
using (comm = new SqlCommand(sb.ToString(), conn))
{
conn.Open();
comm.ExecuteNonQuery();
conn.Close();
}

当我使用此代码在 dll 上运行 CAT.NET 时，它显示了 SQL 注入漏洞。
任何人都可以建议如何消除此SQL注入问题。

有关上述代码的更多信息，您可以

单击此处

Answer 1

由于您依赖于外部 DLL，因此您无法对此执行任何操作您可以将相同的转换为 SP，并尽量避免内联语句。

希望有帮助。

Answer 2

为什么要手动删除这些对象，而不是简单地从同步框架中运行取消预配？

即使使用上面的代码，您也不会删除用户定义的表类型。