如何安全地将参数传递给linq到sql

Question

如果我想获得电子邮件地址为"me@example.com"的用户,如何将其作为linq中的参数传递？

即:

var a = from u in Users
        where u.Email = @email
        Select u;

所以这将在我的方法中使用:

public static GetuserByEmail(string email)

我只是传入变量或？

Answer 1

Linq To SQL自动为您处理SQL注入保护.如果您担心SQL注入,可以安全地从用户传递参数.

它会自动参数化您传入的参数并对其进行消毒.

如果您担心XSS,那么您可以Html.Encode()输出以确保它安全地传回UI.

public User GetUserByEmail(string email) 
{
    User a = (from u in db.Users
        where u.Email == email
        select u).Single();
    return a;
}

我目前不在IDE的前面,所以代码在整个过程中可能不是完全正确的.