[ASP.NET C#]Database search wel veilig?

[Reb87]

Ik heb om snel de content van een Gridview te kunnen filteren een simpele zoekfunctie gemaakt. Deze ziet er als volgt uit:

C#:

string clientInput = "%" + txtSearchField.Text + "%";
string myQuery = "SELECT * FROM Namen WHERE voornaam LIKE '" + clientInput + "'";
sqlSrcNS.SelectCommand = myQuery;

Nu vraag ik mij af of dit wel veilig is? Bestaat er niet het risico dat de gebruiker een SQL injectie uit kan voeren? En hoe is deze functie beter te maken?

[Verwijderd]

Hiermee zou je al snel extra beveiliging kunnen inbouwen:

1. Forceer het datatype van je contraint;
2. Controleer vanaf welke pagina het request wordt uitgevoerd;
3. ...

Succes

[Vae Victis]

Nee, ja, met [google=asp.net parameterized queries]

[Verwijderd]

Idd gebruik maken van geparameteriseerde queries zoals Vae Victis aangeeft. Nu is hij gevoelig voor SQL injection.

[RobIII]

[quote]Verwijderd schreef op zaterdag 26 mei 2007 @ 13:41:
Hiermee zou je al snel extra beveiliging kunnen inbouwen:
[list=1]
• Forceer het datatype van je contraint;

Zie de hiervoor al gegeven antwoorden (Parametrized Query's)

Verwijderd schreef op zaterdag 26 mei 2007 @ 13:41:
• Controleer vanaf welke pagina het request wordt uitgevoerd;
[/list]

En referer is way easy om te spoofen