FlawOpen

flawopen.com/SQL Injection/क्या ORM काफ़ी है?

SQL इंजेक्शन रोकने के लिए ORM का उपयोग काफ़ी है?

संदर्भ पृष्ठ
संक्षिप्त उत्तर

ORM फ़ॉर्म देखकर ऑर्डर बनाने वाली रसोई जैसा है: सामान्य query builder मान अलग रखता है। Raw-SQL shortcut दूसरा रास्ता है, जिसके अपने नियम हैं। Interpolated values पर भरोसा करने से पहले सटीक API जांचें।

असुरक्षित — FromSqlRaw SQL में user text
var sql = $"SELECT * FROM dbo.Blogs WHERE Url = '{url}'";
var rows = await context.Blogs
    .FromSqlRaw(sql)
    .ToListAsync();
// User text is inserted into SQL before execution.
सुरक्षित — FromSql से bind करें (EF Core 7+)
var rows = await context.Blogs
    .FromSql($"SELECT * FROM dbo.Blogs WHERE Url = {url}")
    .ToListAsync();
// EF Core 7+: interpolation becomes a SQL parameter.

हर ORM में यही पैटर्न

ORM query builders और raw-SQL APIs एक समान सुरक्षा सीमा नहीं हैं। आधिकारिक दस्तावेज़ Django raw(sql, params), अलग execution parameters वाले SQLAlchemy text(), Rails placeholder conditions, EF Core 7+ FromSql / FromSqlInterpolated, GORM Raw(sql, args...) और Prisma tagged-template $queryRaw में सुरक्षित value binding बताते हैं। APIs अलग व्यवहार करती हैं: अलग parameters के साथ FromSqlRaw सुरक्षित है, लेकिन SQL string में user text डालना असुरक्षित है; $queryRawUnsafe भी values अलग bind कर सकता है, पर untrusted text जोड़ना असुरक्षित है। Method name अकेले value handling नहीं बताता। हर data value को documented mechanism से bind करें। SQL identifiers और query structure parameters नहीं हैं; उन्हें application-owned fixed allowlist से चुनें। नीचे के guides में सटीक नियम हैं।

"काफ़ी" वास्तव में क्या माँगता है

FAQ

क्या raw SQL methods हमेशा असुरक्षित होते हैं?

नहीं। कुछ raw-SQL APIs अलग से दिए मानों को bind करती हैं और कुछ सुरक्षित APIs interpolated मानों को parameters की तरह लेती हैं। EF Core 7+ FromSql interpolated FormattableString लेता है; FromSqlRaw में parameters अलग देने होते हैं। Prisma $queryRawUnsafe भी values bind कर सकता है, पर आपके बनाए SQL text को sanitize नहीं करता। Method contract जांचें और untrusted values को SQL structure से बाहर रखें।

संदर्भ

यह भी देखें SQL इंजेक्शन (CWE-89): यह कैसे काम करता है और हर भाषा में इसे कैसे रोकें — flawopen.com क्या Knex.js SQL Injection से सुरक्षित है? MyBatis ${} बनाम #{}: SQL Injection से बचाव MySQLi बनाम PDO: सुरक्षित Prepared Statements क्या NHibernate SQL Injection से बचाता है? MongoDB NoSQL Injection: सुरक्षित query filters Numeric ID में SQL Injection का जोखिम