使用Dynamic LINQ实现动态排序时，OrderBy注入是否存在危险？

嘿，这个Dynamic LINQ动态排序的安全问题我之前也踩过坑，正好给你拆解下问题根源和靠谱的解决办法：

问题根源分析 #

首先得明确你现在的处境：

• 预期场景：正常传入Sort.Field=SomeField和Sort.Direction=desc，通过query.OrderBy(field + " " + direction)实现单字段排序，这完全符合设计逻辑。
• 非预期场景：用户能传入Sort.Field=Modified.On != null ? Modified.On : Created.On这种带三元逻辑的表达式，本质是因为Dynamic LINQ会直接把你拼接的字符串当作完整LINQ表达式解析执行，没有任何输入校验——这不仅会打乱排序逻辑，还存在潜在的表达式注入风险，要是用户传入更恶意的字符串，后果不堪设想。

实用解决方案 #

要解决这个问题，核心思路就是把用户输入限制在你允许的范围内，下面分步骤给你具体实现：

1. 建立排序字段白名单 #

先定义一个只包含合法排序字段的集合，只有在这个集合里的字段才允许被使用：

// 这里替换成你实际允许的排序字段
var allowedSortFields = new HashSet<string> { "SomeField", "Modified.On", "Created.On" };

然后在处理请求参数时，先做校验：

string sortField = Request.Query["Sort.Field"];
string sortDirection = Request.Query["Sort.Direction"] ?? "asc";

// 校验字段是否合法，不合法则使用默认字段或抛出异常
if (!allowedSortFields.Contains(sortField))
{
    sortField = "SomeField"; // fallback到默认排序字段
    // 也可以抛出明确的参数错误：throw new ArgumentException($"不支持的排序字段: {sortField}");
}

2. 限制排序方向的可选值 #

排序方向只能是asc或desc，其他值一律拒绝：

// 统一转小写后校验，避免大小写问题
if (!new[] { "asc", "desc" }.Contains(sortDirection.ToLower()))
{
    sortDirection = "asc"; // 默认升序
}

3. 构造安全的排序表达式 #

经过上面两层校验后，再拼接排序字符串传入Dynamic LINQ：

var sortedQuery = query.OrderBy($"{sortField} {sortDirection}");

这时候用户再传那些奇奇怪怪的表达式，会被直接拦截，完全不会进入排序逻辑。

进阶方案：用强类型表达式树彻底规避字符串解析（可选） #

如果你想从根源上杜绝字符串解析的风险，可以改用表达式树实现动态排序，完全不需要依赖Dynamic LINQ的字符串解析：

// 定义字段名到强类型表达式的映射，替换成你的实体类型和字段
var sortExpressionMap = new Dictionary<string, Expression<Func<YourEntity, object>>>
{
    { "SomeField", entity => entity.SomeField },
    { "Modified.On", entity => entity.Modified.On },
    { "Created.On", entity => entity.Created.On }
};

// 获取合法的排序表达式
if (!sortExpressionMap.TryGetValue(sortField, out var sortExpr))
{
    sortExpr = sortExpressionMap["SomeField"]; // 用默认表达式兜底
}

// 根据方向执行排序
IQueryable<YourEntity> sortedQuery;
if (sortDirection.ToLower() == "desc")
{
    sortedQuery = query.OrderByDescending(sortExpr);
}
else
{
    sortedQuery = query.OrderBy(sortExpr);
}

这种方式完全是强类型操作，没有任何字符串拼接和解析的风险，唯一需要注意的是要维护这个表达式映射字典，适合字段相对固定的场景。

总结 #

本质上你遇到的是未做输入校验导致的Dynamic LINQ表达式注入风险，通过白名单限制字段、校验排序方向，就能快速解决问题；如果追求更高的安全性和可维护性，强类型表达式树是更优的选择。

内容的提问来源于stack exchange，提问作者Shelby115