EF Core与Npgsql中jsonb_path_exists的SQL注入及语法错误问题

参数绑定错误的解决方法 #

在EF Core 6.0.4 + Npgsql 6.0.4环境下，jsonb_path_exists要求JSON Path使用双引号，但常规NpgsqlParameter会自动给参数值添加单引号，导致语法错误。直接指定NpgsqlDbType.JsonPath虽然能运行，但会绕过参数化防护，带来SQL注入风险。推荐两种安全的解决方式：

• 用PostgreSQL的format函数生成合法JSON Path
  通过format函数将参数值嵌入到合法的JSON Path结构中，同时保持参数化，既满足双引号要求，又避免注入：

  var uuidParam = new NpgsqlParameter("uuid", NpgsqlDbType.Uuid) { Value = targetUuid };
  var textParam = new NpgsqlParameter("text", NpgsqlDbType.Text) { Value = targetText };
  
  var sql = @"SELECT * FROM your_table 
              WHERE jsonb_path_exists(data, format('$."%s"', @text)) 
              AND id = @uuid";
  var result = context.YourEntities.FromSqlRaw(sql, uuidParam, textParam).ToList();
  

• 升级Npgsql版本（若业务允许）
  Npgsql 7.0及后续版本优化了JSON Path的参数化处理，自动适配双引号要求，无需手动指定特殊参数类型，从根源解决问题。

无执行检测SQL注入风险的方法 #

要在不执行查询的前提下检测queryParam的注入风险，可通过以下两种方式：

• JSON Path语法校验
  利用Npgsql内置的JsonPath.Parse方法解析输入参数，若解析抛出FormatException，说明输入不符合JSON Path规范，存在非法内容：

  bool IsValidJsonPath(string input)
  {
      try
      {
          _ = NpgsqlTypes.JsonPath.Parse(input);
          return true;
      }
      catch (FormatException)
      {
          return false;
      }
  }
  

• 危险字符过滤
  过滤掉JSON Path语法外的危险字符，比如分号、SQL注释符/*、未闭合的单/双引号等。但这种方式需结合语法校验使用，因为合法JSON Path允许部分特殊字符，单独过滤可能误判。

注意：语法校验和字符过滤只能作为辅助手段，参数化查询始终是防范SQL注入的核心措施，不能仅依赖前置检测替代参数化。

内容的提问来源于stack exchange，提问作者Okan Karadag