Tvůrci připojovacích řetězců

Platí pro: .NET Framework .NET Standard

Stáhnout ADO.NET

V dřívějších verzích ADO.NET nedocházelo ke kontrole připojovacích řetězců v čase kompilace se zřetězenými řetězcovými hodnotami, takže v době běhu se generovalo nesprávné klíčové slovo ArgumentException. Zprostředkovatel dat Microsoft SqlClient pro SQL Server obsahuje třídu tvůrce připojovacích řetězců Microsoft.Data.SqlClient.SqlConnectionStringBuilder, která dědí z DbConnectionStringBuilder.

Útoky pomocí injekce připojovacího řetězce

Útok vložením do připojovacího řetězce může nastat, když se k sestavení připojovacích řetězců na základě uživatelského vstupu používá dynamické zřetězení řetězců. Pokud se řetězec neověří a škodlivý text nebo znaky neuniknou, útočník může potenciálně získat přístup k citlivým datům nebo jiným prostředkům na serveru. Útočník by například mohl provést útok tak, že zadá středník a připojí jinou hodnotu. Připojovací řetězec se parsuje pomocí algoritmu "last one wins" a nepřátelský vstup se nahradí legitimní hodnotou.

Třídy pro vytváření připojovacího řetězce jsou navrženy tak, aby odstraňovaly potřebu odhadů a chránily před chybami syntaxe a bezpečnostními chybami. Poskytují metody a vlastnosti odpovídající známým párům klíč/hodnota povolených poskytovatelem dat. Každá třída uchovává pevně danou sadu synonym a může převést synonymum na odpovídající standardní název klíče. Kontroly se provádějí u platných párů klíč/hodnota a neplatný pár vyvolá výjimku. Vložené hodnoty se také zpracovávají bezpečným způsobem.

Následující příklad ukazuje, jak SqlConnectionStringBuilder zpracovává vloženou extra hodnotu pro Initial Catalog nastavení.

SqlConnectionStringBuilder builder = new SqlConnectionStringBuilder();
builder.DataSource = "(local)";
builder.IntegratedSecurity = true;
builder.InitialCatalog = "AdventureWorks;NewValue=Bad";
Console.WriteLine(builder.ConnectionString);

Výstup ukazuje, že SqlConnectionStringBuilder to zpracoval správně tím, že extra hodnotu ohraničil dvojitými uvozovkami namísto jejího připojení k připojovacímu řetězci jako nový klíč/hodnota pár.

data source=(local);Integrated Security=True;
initial catalog="AdventureWorks;NewValue=Bad"

Vytvořit připojovací řetězce z konfiguračních souborů

Pokud jsou určité prvky připojovacího řetězce známé předem, mohou být uloženy v konfiguračním souboru a načteny za běhu, aby se vytvořil úplný připojovací řetězec. Název databáze může být například známý předem, ale ne název serveru. Nebo můžete chtít, aby uživatel zadal jméno a heslo za běhu, aniž by do připojovacího řetězce mohl vkládat další hodnoty.

Jeden z přetížených konstruktorů tvůrce připojovacího řetězce přijímá jako argument parametr String, což umožňuje zadat částečný připojovací řetězec, který lze následně doplnit na základě vstupu uživatele. Částečný připojovací řetězec lze uložit do konfiguračního souboru a načíst ho za běhu.

Poznámka:

Obor System.Configuration názvů umožňuje programový přístup ke konfiguračním souborům, které používají WebConfigurationManager pro webové aplikace a ConfigurationManager pro aplikace pro Windows. Další informace o práci s připojovací řetězec a konfiguračními soubory naleznete v tématu Připojovací řetězce a konfigurační soubory.

Example

Tento příklad ukazuje načtení částečného připojovacího řetězce z konfiguračního souboru a jeho dokončení nastavením DataSource, UserIDa Password vlastnosti SqlConnectionStringBuilder. Konfigurační soubor je definován následujícím způsobem.

<connectionStrings>
  <clear/>
  <add name="partialConnectString"
    connectionString="Initial Catalog=Northwind;"
    providerName="Microsoft.Data.SqlClient" />
</connectionStrings>

Poznámka:

Abyste mohli kód spustit, musíte v projektu nastavit odkaz na System.Configuration.dll.

private static void BuildConnectionString(string dataSource,
    string userName, string userPassword)
{
    // Retrieve the partial connection string named databaseConnection
    // from the application's app.config or web.config file.
    ConnectionStringSettings settings =
        ConfigurationManager.ConnectionStrings["partialConnectString"];

    if (null != settings)
    {
        // Retrieve the partial connection string.
        string connectString = settings.ConnectionString;
        Console.WriteLine("Original: {0}", connectString);

        // Create a new SqlConnectionStringBuilder based on the
        // partial connection string retrieved from the config file.
        SqlConnectionStringBuilder builder =
            new SqlConnectionStringBuilder(connectString);

        // Supply the additional values.
        builder.DataSource = dataSource;
        builder.UserID = userName;
        builder.Password = userPassword;
        Console.WriteLine("Modified: {0}", builder.ConnectionString);
    }
}

Související obsah

  • Last updated on