{"id":55000184,"date":"2019-08-01T00:00:00","date_gmt":"2020-03-27T19:38:24","guid":{"rendered":"http:\/\/access-im-unternehmen.aix-dev.de\/aiu\/?p=184"},"modified":"-0001-11-30T00:00:00","modified_gmt":"-0001-11-30T00:00:00","slug":"Direkter_SQLZugriff_und_SQLInjection","status":"publish","type":"post","link":"https:\/\/vbentwickler.de\/Direkter_SQLZugriff_und_SQLInjection\/","title":{"rendered":"Direkter SQL-Zugriff und SQL-Injection"},"content":{"rendered":"<p><b>Wenn Sie von Access kommen und es gewohnt sind, Abfragen mit der Entwurfsansicht &uuml;ber die Benutzeroberfl&auml;che anzulegen, kann schon das Zusammenstellen von SQL-Abfragen nervig sein. Aber diese kann man unter Access immerhin noch aus der SQL-Ansicht einer Abfrage ermitteln. Was aber, wenn man nun Abfragen in LINQ formulieren soll, wo es noch nicht einmal eine grafische Entwurfsansicht gibt Nun: Es gibt auch unter Entity Framework die M&ouml;glichkeit, SQL-Befehle abzusetzen. Das ist auch deshalb interessant, weil Sie so auch gespeicherte Prozeduren ausf&uuml;hren k&ouml;nnen. Wie das gelingt, zeigt der vorliegende Artikel.<\/b><\/p>\n<p>Wenn Sie in Entity Framework direkt mit einer SQL-Abfrage auf die Daten der zugrunde liegenden Tabellen zugreifen wollen, k&ouml;nnen Sie drei verschiedene Methoden nutzen:<\/p>\n<ul>\n<li>Jede <b>DbSet<\/b>-Auflistung bietet die Methode <b>SqlQuery<\/b> an, zum Beispiel: <b>Kunden.SqlQuery<\/b><\/li>\n<li>Die Methode <b>SqlQuery <\/b>finden Sie auch f&uuml;r das Objekt <b>Database <\/b>der Kontextklasse, hier meist <b>dbContext <\/b>genannt: <b>dbContext.Database.SqlQuery<\/b><\/li>\n<li>Die mit <b>dbContext <\/b>referenzierte Kontextklasse bietet &uuml;ber das Objekt <b>Database <\/b>au&szlig;erdem noch die Methode <b>ExecuteSqlCommand <\/b>an: <b>dbContext.Database.ExecuteSqlCommand<\/b><\/li>\n<\/ul>\n<h2>Die Methode SqlQuery der DbSet-Klasse<\/h2>\n<p>Wenn Sie die Methode <b>SqlQuery <\/b>einer der <b>DbSet<\/b>-Klassen des Entity Data Models aufrufen, muss die Abfrage als Ergebnis Entit&auml;ten des Typs der jeweiligen <b>DbSet<\/b>-Klasse liefern. Wenn Sie also etwa auf Daten der Tabelle <b>Kunden <\/b>zugreifen wollen, w&uuml;rde die folgende Methode funktionieren, die wir &uuml;ber eine Schaltfl&auml;che des Fensters <b>MainWindow <\/b>des Beispielprojekts aufrufen:<\/p>\n<pre><span style=\"color:blue;\">Private Sub <\/span>btnKundenAbfragenDbSet_Click(sender<span style=\"color:blue;\"> As Object<\/span>, e<span style=\"color:blue;\"> As <\/span>RoutedEventArgs)\r\n     <span style=\"color:blue;\">Dim <\/span>dbContext<span style=\"color:blue;\"> As <\/span>BestellverwaltungContext\r\n     <span style=\"color:blue;\">Dim <\/span>Kunden<span style=\"color:blue;\"> As <\/span>List(Of Kunde)\r\n     <span style=\"color:blue;\">Dim <\/span>Kunde<span style=\"color:blue;\"> As <\/span>Kunde\r\n     dbContext = <span style=\"color:blue;\">New<\/span> BestellverwaltungContext\r\n     Kunden = dbContext.Kunden.SqlQuery(\"SELECT * FROM Kunden\").ToList()\r\n     For Each Kunde In Kunden\r\n         <span style=\"color:blue;\">Debug.Print<\/span>(Kunde.ID.ToString() + \" \" + Kunde.Nachname)\r\n     <span style=\"color:blue;\">Next<\/span>\r\n<span style=\"color:blue;\">End Sub<\/span><\/pre>\n<p>Hie definieren wir eine <b>List<\/b>-Variable <b>Kunden <\/b>f&uuml;r Elemente des Typs <b>Kunde <\/b>sowie eine <b>Kunde<\/b>-Variable gleichen Namens. Diese f&uuml;llen wir dann mit dem Ergebnis der <b>SqlQuery<\/b>-Methode mit dem Parameter <b>SELECT * FROM Kunden<\/b>, das wir dann mit <b>ToList() <\/b>noch in eine Liste konvertieren. Anschlie&szlig;end durchlaufen wir die Elemente in einer <b>For Each<\/b>-Schleife und geben die Werte der Felder <b>ID <\/b>und <b>Nachname <\/b>im Ausgabebereich aus.<\/p>\n<h2>Abfragen mit INNER JOIN<\/h2>\n<p>Sie k&ouml;nnen auch weitere Tabellen zur Abfrage hinzuf&uuml;gen. Im folgenden Beispiel haben wir etwa die Anweisung mit der <b>SqlQuery<\/b>-Methode wie folgt ge&auml;ndert und die Tabelle <b>Anreden <\/b>per <b>INNER JOIN <\/b>hinzugef&uuml;gt, um nach allen Kunden zu filtern, deren Anrede <b>Frau <\/b>lautet:<\/p>\n<pre>Kunden = dbContext.Kunden.SqlQuery(\"SELECT Kunden.* FROM Kunden INNER JOIN Anreden ON Kunden.AnredeID = Anreden.ID WHERE Anreden.Name = ''Frau''\").ToList()\r\n''Test<\/pre>\n<p>Das Ergebnis sehen Sie in Bild 1.<\/p>\n<p class=\"image\"><img decoding=\"async\" src=\"..\/fileadmin\/_temp_\/2019_04\/pic_184_001.png\" alt=\"Ausgabe des Ergebnisses der SqlQuery-Methode\" width=\"424,7115\" height=\"339,7693\"\/><\/p>\n<p><b><span style=\"color:darkgrey;\">Bild 1: Ausgabe des Ergebnisses der SqlQuery-Methode<\/span><\/b><\/p>\n<p>Wichtig ist nur, dass das Abfrageergebnis nur Elemente der Tabelle <b>Kunden <\/b>enth&auml;lt. Wir probieren einmal die folgende SQL-Abfrage in der gleichen Methode aus, welche noch das Feld <b>Anrede <\/b>der Tabelle <b>Anreden <\/b>mit dem Abfrageergebnis zur&uuml;ckliefert:<\/p>\n<pre>SELECT Kunden.*, Anreden.Name FROM Kunden INNER JOIN Anreden ON Kunden.AnredeID = Anreden.ID WHERE Anreden.Name = ''Frau''<\/pre>\n<p>Dies liefert das gleiche Ergebnis und keinen Fehler, aber der Inhalt des Feldes <b>Name <\/b>der Tabelle <b>Anreden <\/b>ist dennoch nicht verf&uuml;gbar, da wir ja &uuml;ber die Auflistung <b>Kunden <\/b>nur auf Elemente der Klasse <b>Kunde <\/b>zugreifen k&ouml;nnen. Aber sollte man hier nicht mit einem Fehler rechnen, da die <b>SELECT<\/b>-Abfrage auch Felder liefert, die so nicht in der Zielklasse <b>Kunde <\/b>vorkommen Wir probieren es einmal aus und verwenden die folgende Abfrage, die neben den Feldern der Tabelle <b>Kunde <\/b>auch ein Feld der Tabelle <b>Produkte <\/b>enth&auml;lt:<\/p>\n<pre>Kunden = dbContext.Kunden.SqlQuery(\"SELECT Kunden.*, Produkte.Name FROM (Kunden \r\n     INNER JOIN Bestellungen ON Kunden.ID = Bestellungen.KundeID)      \r\n     INNER JOIN (Produkte INNER JOIN Bestellpositionen ON Produkte.ID = \r\n     Bestellpositionen.ProduktID) ON Bestellungen.ID = Bestellpositionen.BestellungID\").ToList()<\/pre>\n<p>F&uuml;hren wir die Methode aus und schauen uns den Aufbau des Objekts <b>Kunde<\/b> wie in Bild 2 an, enth&auml;lt dieses genau die in der Klasse definierten Elemente. Nun probieren wir auch noch den gegenteiligen Fall aus, indem wir nicht alle Elemente der Klasse <b>Kunde <\/b>mit Werten aus der zugrunde liegenden Tabelle <b>Kunden <\/b>f&uuml;llen, sondern nur mit dem Feld <b>Kunden.ID<\/b>:<\/p>\n<p class=\"image\"><img decoding=\"async\" src=\"..\/fileadmin\/_temp_\/2019_04\/pic_184_002.png\" alt=\"Die Kunde-Klasse enth&auml;lt nur die definierten Elemente.\" width=\"699,525\" height=\"393,9387\" \/><\/p>\n<p><b><span style=\"color:darkgrey;\">Bild 2: Die Kunde-Klasse enth&auml;lt nur die definierten Elemente.<\/span><\/b><\/p>\n<pre>Kunden = dbContext.Kunden.SqlQuery(\"SELECT Kunden.ID, Produkte.Name FROM (Kunden \r\n     INNER JOIN Bestellungen ON Kunden.ID = Bestellungen.KundeID)      \r\n     INNER JOIN (Produkte INNER JOIN Bestellpositionen ON Produkte.ID = \r\n     Bestellpositionen.ProduktID) ON Bestellungen.ID = Bestellpositionen.BestellungID\").ToList()<\/pre>\n<p>Dies sorgt dann allerdings f&uuml;r eine Fehlermeldung mit dem folgenden Text:<\/p>\n<pre>Der Datenleser ist mit dem angegebenen Wert f&uuml;r ''EDMSQL.Kunde'' nicht kompatibel. Ein Element vom Typ (''Firma'') weist keine entsprechende Spalte im gleichnamigen Datenleser auf.<\/pre>\n<p>Die Abfrage muss also zwingend alle Eigenschaften der Zielklasse f&uuml;llen, darf aber auch weitere Felder ausgeben &#8211; die dann allerdings nicht ber&uuml;cksichtigt werden.<\/p>\n<h2>Daten aus gespeicherten Prozeduren laden<\/h2>\n<p>Auf die gleiche Weise k&ouml;nnen Sie auch Daten aus gespeicherten Prozeduren laden. Dazu f&uuml;gen wir der SQL Server-Datenbank, die in der Verbindungszeichenfolge genannt ist, eine gespeicherte Prozedur an. Das erledigen wir, in dem wir in Visual Studio den Bereich SQL Server-Objekt-Explorer einblenden (Men&uuml;punkt <b>Ansicht|SQL Server-Objekt-Explorer<\/b>). Hier w&auml;hlen Sie die Datenbank zu unserem Projekt aus und navigieren zum Eintrag <b>Gespeicherte Prozeduren<\/b>. Das Kontextmen&uuml; dieses Eintrags bietet den Befehl <b>Neue gespeicherte Prozedur hinzuf&uuml;gen&#8230; <\/b>an, den Sie nun aufrufen (siehe Bild 3).<\/p>\n<p class=\"image\"><img decoding=\"async\" src=\"..\/fileadmin\/_temp_\/2019_04\/pic_184_003.png\" alt=\"Anlegen einer neuen gespeicherten Prozedur\" width=\"424,7115\" height=\"295,2263\" \/><\/p>\n<p><b><span style=\"color:darkgrey;\">Bild 3: Anlegen einer neuen gespeicherten Prozedur<\/span><\/b><\/p>\n<p>Im nun erscheinenden Bereich tragen wir den Code zum Erstellen der gespeicherten Prozedur ein und f&uuml;hren diesen mit <b>Strg + Umschalt + E <\/b>aus (im SQL Server Management Studio k&ouml;nnten Sie das mit <b>F5 <\/b>erledigen, in Visual Studio jedoch startet <b>F5 <\/b>das aktuelle Projekt):<\/p>\n<pre>CREATE PROCEDURE [dbo].[spAlleKunden]\r\nAS\r\n     SELECT Kunden.* FROM Kunden\r\nRETURN 0<\/pre>\n<p>Nun f&uuml;gen wir dem Fenster <b>MainWindow.xaml <\/b>eine neue Schaltfl&auml;che hinzu, welche die folgende Methode aufruft:<\/p>\n<pre><span style=\"color:blue;\">Private Sub <\/span>btnKundenAbfragenStoredProcedure_Click(sender<span style=\"color:blue;\"> As Object<\/span>, e<span style=\"color:blue;\"> As <\/span>RoutedEventArgs)\r\n     ...\r\n     Kunden = dbContext.Kunden.SqlQuery(\"dbo.spAlleKunden\").ToList()\r\n     ...\r\n<span style=\"color:blue;\">End Sub<\/span><\/pre>\n<p>Damit f&uuml;llen wir wieder eine Liste mit allen Datens&auml;tzen der Tabelle <b>Kunden<\/b> &#8211; nur &uuml;ber den Umweg einer gespeicherten Prozedur.<\/p>\n<h2>Gespeicherte Prozedur mit Parameter<\/h2>\n<p>Allerdings ist der Sinn einer gespeicherten Prozedur ja gerade, nicht den Inhalt einer kompletten Tabelle zur&uuml;ckzuliefern, sondern &#8211; unter anderem &#8211; die Daten schon auf dem Server zu filtern und nur die ben&ouml;tigten Daten auf den Clientrechner zu &uuml;bertragen. Noch flexibler wird das Ganze nat&uuml;rlich, wenn Sie auch noch mit Parametern arbeiten, die beim Aufruf vom Client aus &uuml;bergeben kann. Wir f&uuml;gen also auch noch eine gespeicherte Prozedur hinzu, die einen Parameter erwartet. In diesem Fall soll die gespeicherte Prozedur nur den Kunden mit einer bestimmten ID zur&uuml;ckliefern:<\/p>\n<pre>CREATE PROCEDURE [dbo].[spKundeNachID]\r\n     @id int\r\nAS\r\n     SELECT Kunden.* FROM Kunden WHERE ID = @id\r\nRETURN 0<\/pre>\n<p>Wie &uuml;bergeben wir den Wert f&uuml;r den Parameter beim Aufruf mit der <b>SqlExecute<\/b>-Methode Wir versuchen es erst, indem wir einfach den Wert f&uuml;r den Parameter anh&auml;ngen:<\/p>\n<pre>Kunden = dbContext.Kunden.SqlQuery(\"dbo.spKundeNachID\", 10).ToList()<\/pre>\n<p>Dies liefert den Fehler <b>Procedure or function &#8221;spKundeNachID&#8221; expects parameter &#8221;@id&#8221;, which was not supplied. <\/b>Also korrigieren wir den Aufruf der Abfrage wie folgt und f&uuml;gen den Namen des Parameters <b>@id <\/b>hinten an den Namen der gespeicherten Prozedur an:<\/p>\n<pre>Kunden = dbContext.Kunden.SqlQuery(\"dbo.spKundeNachID @id\", 10).ToList()<\/pre>\n<p>Dies liefert wiederum den Fehler <b>Must declare the scalar variable &#8220;@id&#8221;<\/b>. Wo aber liegt hier der Fehler Die Variable wird ja wie oben angegeben in der Definition der gespeicherten Prozedur deklariert. <\/p>\n<p>Letztendlich funktioniert die folgende Variante:<\/p>\n<pre>Kunden = dbContext.Kunden.SqlQuery(\"dbo.spKundeNachID 10\").ToList()<\/pre>\n<div class=\"rcp_restricted\"><p><span style=\"color: #ff0000;\">M&ouml;chten Sie weiterlesen? Dann l&ouml;sen Sie Ihr Ticket!<\/span><br \/>\n<span style=\"color: #ff0000;\">Hier geht es zur Bestellung des Jahresabonnements des Magazins <strong>Visual Basic Entwickler<\/strong>:<\/span><br \/>\n<span style=\"color: #ff0000;\"><a style=\"color: #ff0000;\" href=\"https:\/\/shop.minhorst.com\/magazine\/363\/visual-basic-entwickler-jahresabonnement?c=77\">Zur Bestellung ...<\/a><\/span><br \/>\n<span style=\"color: #ff0000;\">Danach greifen Sie sofort auf <strong>alle rund 200 Artikel<\/strong> unseres Angebots zu - auch auf diesen hier!<\/span><br \/>\n<span style=\"color: #000000;\">Oder haben Sie bereits Zugangsdaten? Dann loggen Sie sich gleich hier ein:<\/span><\/p>\n<\/div>\n\n\t\n\t<form id=\"rcp_login_form\"  class=\"rcp_form\" method=\"POST\" action=\"https:\/\/vbentwickler.de\/data\/wp\/v2\/posts\/55000184\/\">\n\n\t\t\n\t\t<fieldset class=\"rcp_login_data\">\n\t\t\t<p>\n\t\t\t\t<label for=\"rcp_user_login\">Username or Email<\/label>\n\t\t\t\t<input name=\"rcp_user_login\" id=\"rcp_user_login\" class=\"required\" type=\"text\"\/>\n\t\t\t<\/p>\n\t\t\t<p>\n\t\t\t\t<label for=\"rcp_user_pass\">Password<\/label>\n\t\t\t\t<input name=\"rcp_user_pass\" id=\"rcp_user_pass\" class=\"required\" type=\"password\"\/>\n\t\t\t<\/p>\n\t\t\t\t\t\t<p>\n\t\t\t\t<input type=\"checkbox\" name=\"rcp_user_remember\" id=\"rcp_user_remember\" value=\"1\"\/>\n\t\t\t\t<label for=\"rcp_user_remember\">Remember me<\/label>\n\t\t\t<\/p>\n\t\t\t<p class=\"rcp_lost_password\"><a href=\"\/data\/wp\/v2\/posts\/55000184?rcp_action=lostpassword\"><\/a><\/p>\n\t\t\t<p>\n\t\t\t\t<input type=\"hidden\" name=\"rcp_action\" value=\"login\"\/>\n\t\t\t\t<input type=\"hidden\" name=\"rcp_redirect\" value=\"https:\/\/vbentwickler.de\/data\/wp\/v2\/posts\/55000184\/\"\/>\n\t\t\t\t<input type=\"hidden\" name=\"rcp_login_nonce\" value=\"dbce743e9d\"\/>\n\t\t\t\t<input id=\"rcp_login_submit\" class=\"rcp-button\" type=\"submit\" value=\"Login\"\/>\n\t\t\t<\/p>\n\t\t\t\t\t<\/fieldset>\n\n\t\t\n\t<\/form>\n<\/p>\n","protected":false},"excerpt":{"rendered":"<p>Wenn Sie von Access kommen und es gewohnt sind, Abfragen mit der Entwurfsansicht &uuml;ber die Benutzeroberfl&auml;che anzulegen, kann schon das Zusammenstellen von SQL-Abfragen nervig sein. Aber diese kann man unter Access immerhin noch aus der SQL-Ansicht einer Abfrage ermitteln. Was aber, wenn man nun Abfragen in LINQ formulieren soll, wo es noch nicht einmal eine grafische Entwurfsansicht gibt Nun: Es gibt auch unter Entity Framework die M&ouml;glichkeit, SQL-Befehle abzusetzen. Das ist auch deshalb interessant, weil Sie so auch gespeicherte Prozeduren ausf&uuml;hren k&ouml;nnen. Wie das gelingt, zeigt der vorliegende Artikel.<\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"om_disable_all_campaigns":false,"_monsterinsights_skip_tracking":false,"_monsterinsights_sitenote_active":false,"_monsterinsights_sitenote_note":"","_monsterinsights_sitenote_category":0,"_uf_show_specific_survey":0,"_uf_disable_surveys":false,"footnotes":""},"categories":[662019,66042019,44000021],"tags":[],"yst_prominent_words":[],"class_list":["post-55000184","post","type-post","status-publish","format-standard","hentry","category-662019","category-66042019","category-Entity_Framework"],"aioseo_notices":[],"_links":{"self":[{"href":"https:\/\/vbentwickler.de\/data\/wp\/v2\/posts\/55000184","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/vbentwickler.de\/data\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/vbentwickler.de\/data\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/vbentwickler.de\/data\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/vbentwickler.de\/data\/wp\/v2\/comments?post=55000184"}],"version-history":[{"count":0,"href":"https:\/\/vbentwickler.de\/data\/wp\/v2\/posts\/55000184\/revisions"}],"wp:attachment":[{"href":"https:\/\/vbentwickler.de\/data\/wp\/v2\/media?parent=55000184"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/vbentwickler.de\/data\/wp\/v2\/categories?post=55000184"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/vbentwickler.de\/data\/wp\/v2\/tags?post=55000184"},{"taxonomy":"yst_prominent_words","embeddable":true,"href":"https:\/\/vbentwickler.de\/data\/wp\/v2\/yst_prominent_words?post=55000184"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}