如何解决Visual Code Grepper检测出的“潜在SQL注入”风险？

为什么带参数的SQL还会被标记风险？ #

Visual Code Grepper这类静态代码分析工具是靠规则匹配干活的，不是真的能理解代码执行逻辑：

• 它可能只扫描到你使用了动态字符串形式的SQL，哪怕是安全的参数化写法，也会触发预设的警报规则；
• 对于ExecuteSQL这种自定义的数据访问方法，工具没法深入解析内部实现，不确定你是不是真的做了安全的参数绑定，索性直接标记风险；
• 有些工具的规则设置得太宽泛，只要沾“动态SQL”的边就报警，不管是不是安全的参数化写法。

你的示例代码里的ExecuteSQL调用看起来是参数化的，但工具识别不了这个方法内部的安全逻辑，所以误报了：

CRITICAL: Potentially Unsafe Code - Potential SQL Injection Line: 804
D:\Source\XXX\App_Code\Reports\QueryClass.cs The application appears to allow SQL injection via a pre-prepared dynamic SQL statement.

ExecuteSQL("Update QueryParam Set Value=@VA,UpdatedBy=@UB,Updated=GetUTCDate() Where ParamID=@PID", DAL.SQLType.sqlNQ, Nothing, "@VA,@UB,@PID", Value, User.UserID, ParamID);

怎么解决这类误报？ #

• 先确认自定义方法的安全性：去看ExecuteSQL的内部实现，要是它确实是用SqlCommand.Parameters这类方式绑定参数、没有做字符串拼接，那这个警报就是纯误报，不用慌；
• 给工具加白名单：找到Visual Code Grepper的SQL注入检测规则，把ExecuteSQL这个方法加入白名单，让工具跳过对它的调用检测；
• 换用原生参数化API：如果不想纠结工具规则，直接改用.NET原生的SqlCommand来写，比如：

  using (var cmd = new SqlCommand("Update QueryParam Set Value=@VA,UpdatedBy=@UB,Updated=GetUTCDate() Where ParamID=@PID", connection))
  {
      cmd.Parameters.AddWithValue("@VA", Value);
      cmd.Parameters.AddWithValue("@UB", User.UserID);
      cmd.Parameters.AddWithValue("@PID", ParamID);
      cmd.ExecuteNonQuery();
  }
  

  这种标准写法几乎不会被静态工具误报；
• 给代码加忽略标记：如果工具支持，在触发警报的代码行上方加注释，比如// vcg:ignore SQLInjection，告诉工具这行是安全的，别报警。

内容的提问来源于stack exchange，提问作者navigator