Questa ricerca basata su LINQ è sicura contro l'attacco SQL injection/XSS?

Question

Fare riferimento all'esercitazione di ricerca del database seguente e indicare se la metodologia di ricerca è sicura, soprattutto perché prende input da una casella di testo.

http://net.tutsplus.com/tutorials/asp-net/enabling-search-functionality-in-your-site-using-the-new-features-in-aspnet-35/

Protected Sub btnSubmit_Click(ByVal sender As Object, ByVal e As System.EventArgs) Handles btnSubmit.Click 

    Dim db As New BlogDBDataContext() 

    Dim q = From b In db.Blogs _ 
      Where b.BlogContents.Contains(txtSearch.Text.Trim()) Or _ 
        b.BlogTitle.Contains(txtSearch.Text.Trim()) _ 
      Select b 

    lv.DataSource = q 
    lv.DataBind() 
End Sub 

Answer 1

Sì, questo è sicuro. Non si è a rischio di attacchi di SQL injection usando LINQ a meno che non si crei da sé l'SQL, ad esempio se si utilizza ExecuteQuery.

Answer 2

In questo caso siete al sicuro. Devi fare di tutto per abilitare l'SQL injection usando LINQ to SQL. Vedi http://www.thinqlinq.com/Post.aspx/Title/Does-LINQ-to-SQL-eliminate-the-possibility-of-SQL-Injection