SQLight Sicherheit und Codeanalysen

Amelie · 14. Januar 2024, 12:26

Moin moin

Ich versuche mich gerade mit SQLight zu beschäftigen, weil ich von Access 2003 Datenbanken weg möchte.
Soweit klappt das ja mit den Abfragen nur diese Codeanalyse bzgl der "Sicherheit" macht mich

Warnung CA2100 Die in 'DBConnection.LoadTableColumns(String)' an 'SQLiteCommand.CommandText.Set(String)' übergebene Abfragezeichenfolge könnte die folgenden 'DBConnection.QuoteIdentifier(tableName)'-Variablen enthalten.
Wenn eine dieser Variablen aus Benutzereingaben stammt, sollten Sie eine gespeicherte Prozedur oder eine parametrisierte SQL-Abfrage verwenden, anstatt die Abfrage mit Zeichenfolgenverkettungen zu erstellen.
SqLightTest A:\Entwicklung\2024\SqLightTest\SqLightTest\DBConnection.vb 38 Aktiv

Die Zeile:

VB.NET-Quellcode

command.CommandText = query

Spoiler anzeigen

Auf dem Form:

VB.NET-Quellcode

Public Class FrmMain
Public Sub New()
AddHandler DBConnection.TablesLoaded, AddressOf DBConnection_DBTabels
AddHandler DBConnection.ColumnsLoaded, AddressOf DBConnection_TableColums
InitializeComponent()
End Sub
Private Sub DBConnection_TableColums(ByVal colnames As List(Of String))
ListBoxCategory.DataSource = colnames
End Sub
Private Sub DBConnection_DBTabels(ByVal tablesnames As List(Of String))
ListBoxTables.DataSource = tablesnames
End Sub
Private Sub Form1_Load(sender As Object, e As EventArgs) Handles MyBase.Load
DBConnection.LoadTables()
End Sub
Private Sub ListBoxTables_SelectedIndexChanged(sender As Object, e As EventArgs) Handles ListBoxTables.SelectedIndexChanged
If ListBoxTables.SelectedItem IsNot Nothing Then
DBConnection.SelectedTable = ListBoxTables.SelectedItem.ToString()
Debug.WriteLine(DBConnection.SelectedTable)
DBConnection.LoadTableColumns(DBConnection.SelectedTable)
End If
End Sub
End Class

Im Modul:

VB.NET-Quellcode

Module DBConnection
Private connection As SQLiteConnection
Public Event TablesLoaded(ByVal tableNames As List(Of String))
Public Event ColumnsLoaded(ByVal cloumnList As List(Of String))
Public Property SelectedTable As String
Public ReadOnly DataBaseName As String = "northwindEF.db"
Private Sub Con2DataBase()
Dim databasePath As String = Path.Combine(Application.StartupPath, DataBaseName)
Dim connectionString As String = $"Data Source={databasePath};Version=3;"
connection = New SQLiteConnection(connectionString)
connection.Open()
End Sub
Public Sub CloseConnection()
If connection IsNot Nothing AndAlso connection.State = ConnectionState.Open Then
connection.Close()
End If
End Sub
Public Sub LoadTableColumns(tableName As String)
' Zur DB verbinden und öffnen
Con2DataBase()
Dim columnList As New List(Of String)()
' Sicheren Tabellennamen erstellen
Dim query As String = $"PRAGMA table_info({QuoteIdentifier(tableName)})"
' SQLiteCommand mit parametrisierter Abfrage
Using command As New SQLiteCommand(connection)
command.CommandText = query
command.Parameters.AddWithValue("@tableName", tableName)
Using reader As SQLiteDataReader = command.ExecuteReader()
While reader.Read()
Dim columnName As String = reader("name").ToString()
columnList.Add(columnName)
End While
End Using
End Using
CloseConnection()
RaiseEvent ColumnsLoaded(columnList)
End Sub
Private Function QuoteIdentifier(identifier As String) As String
' Funktion zum Sicheren Umgeben von Tabellen-/Spaltennamen mit Anführungszeichen
Return $"`{identifier.Replace("`", "``")}`"
End Function
Public Sub LoadTables()
' Zur DB verbinden und öffnen
Con2DataBase()
Dim tableNames As New List(Of String)()
' sqlite_master, um Informationen zu den Tabellen zu erhalten
Using command As New SQLiteCommand("SELECT name FROM sqlite_master WHERE type='table' AND name <> 'sqlite_sequence'", connection)
Using reader As SQLiteDataReader = command.ExecuteReader()
While reader.Read()
Dim tableName As String = reader("name").ToString()
tableNames.Add(tableName)
End While
End Using
End Using
CloseConnection()
RaiseEvent TablesLoaded(tableNames)
End Sub
End Module

*Topic verschoben*

siycah · 14. Januar 2024, 12:33

Du solltest dir vielleicht mal Prepared Statements anschauen. Damit übergibst du keine "rohen" Variablen, sondern die Bibliothek nimmt deine Variablen separat und sieht zu, dass du die Abfrage escapest; sprich verhindert, dass ungefilterter Input eine Sicherheitslücke darstellt.

INOPIAE · 14. Januar 2024, 13:02

Amelie schrieb:

' Sicheren Tabellennamen erstellen
Dim query As String = $"PRAGMA table_info({QuoteIdentifier(tableName)})"
' SQLiteCommand mit parametrisierter Abfrage
Using command As New SQLiteCommand(connection)
command.CommandText = query
command.Parameters.AddWithValue("@tableName", tableName)

versuche es mal do:

VB.NET-Quellcode

Dim query As String = $"PRAGMA table_info(@tableName))"
' SQLiteCommand mit parametrisierter Abfrage
Using command As New SQLiteCommand(connection)
command.CommandText = query
command.Parameters.AddWithValue("@tableName", QuoteIdentifier(tableName))

Amelie · 14. Januar 2024, 14:58

Ich habe nun etliches ausprobiert. Diese Warnung bekomme ich einfach nicht weg.

Hier nur mal 3 Teile die ich probiert habe.

Spoiler anzeigen

VB.NET-Quellcode

Public Sub LoadTableColumns(tableName As String)
' Zur DB verbinden und öffnen
Con2DataBase()
Dim columnList As New List(Of String)()
Using command As New SQLiteCommand(connection)
Dim quotedTableName As String = QuoteIdentifier(tableName)
Dim query As String = $"PRAGMA table_info({quotedTableName})"
command.CommandText = query
Using reader As SQLiteDataReader = command.ExecuteReader()
While reader.Read()
Dim columnName As String = reader("name").ToString()
columnList.Add(columnName)
End While
End Using
End Using
CloseConnection()
RaiseEvent ColumnsLoaded(columnList)
End Sub
Public Sub LoadTableColumns(tableName As String)
' Zur DB verbinden und öffnen
Con2DataBase()
Dim columnList As New List(Of String)()
Dim query As String = $"PRAGMA table_info({tableName})"
Debug.WriteLine($"Class: {query}")
Using command As New SQLiteCommand(connection)
command.CommandText = query
command.Parameters.AddWithValue("@tableName", QuoteIdentifier(tableName))
Using reader As SQLiteDataReader = command.ExecuteReader()
While reader.Read()
Dim columnName As String = reader("name").ToString()
columnList.Add(columnName)
End While
End Using
End Using
CloseConnection()
RaiseEvent ColumnsLoaded(columnList)
End Sub
Public Sub LoadTableColumns(tableName As String)
' Zur DB verbinden und öffnen
Con2DataBase()
Dim columnList As New List(Of String)()
Dim query As String = $"PRAGMA table_info({tableName})"
Debug.WriteLine($"Class: {query}")
Using command As New SQLiteCommand(query, connection)
command.Parameters.AddWithValue("@tableName", QuoteIdentifier(tableName))
Using reader As SQLiteDataReader = command.ExecuteReader()
While reader.Read()
Dim columnName As String = reader("name").ToString()
columnList.Add(columnName)
End While
End Using
End Using
CloseConnection()
RaiseEvent ColumnsLoaded(columnList)
End Sub

ErfinderDesRades · 14. Januar 2024, 15:10

Jo, was siycah als "prepared Statement" bezeichnet, stellt sich in der .Net Welt als parametrisiertes DbCommand dar - so wie'ss INOPIAE vormacht.

Nur musst du es auch so machen, wie ers vormacht. Schau genau an, was er als query baut, und was du.
Er verwendet einen Platzhalter im CommandText.

Was anderes: Architektonisch ists höchst unangebracht, die ColumnList als Event an iwelche Empfänger zu verteilen.
Schreib stattdessen eine Function, die die ColumnList einfach returnt.
(Ist dir das ühaupt bekannt, dass Functions einen Wert returnen können?)

DTF · 14. Januar 2024, 15:19

Probier ma:

VB.NET-Quellcode

Dim query As String = $"PRAGMA table_info(@{tableName})"

Aber du solltest nicht die Verbindung für jeden query öffnen und schliessen. Im Konstruktor oder einer Sub die Connection aufbauen, IDisposeable implementieren beim Disposen schliessen wenn offen und alles disposen was zu disposen ist.

Amelie · 14. Januar 2024, 15:46

Hallo;

Ich habe das:
Dim query As String = $"PRAGMA table_info(@{tableName})"
Dim query As String = $"PRAGMA table_info({@tableName})"

Und alles mögliche getestet.

VB.NET-Quellcode

Dim newTable As String = "Regions" '<=== HIER mit fixen Tabellennamen ist ALLES OK!!
' Sicheren Tabellennamen erstellen
Dim query As String = $"PRAGMA table_info({QuoteIdentifier(newTable)})"

Einiges bring gleich einen Absturz.....
Sobald ich das: Public Property SelectedTable As String
verwende kommt die Warnung.

Der letzte Code der funktioniert ABER noch immer die Warnung CA2100 wirft.

Spoiler anzeigen

-----
Das ganze ist erstmal um mich mit SQLight zu beschäftigen. Deswegen das simple Event usw...

ErfinderDesRades · 14. Januar 2024, 16:16

naja, solange du keine Platzhalter verwendest, wird die Warnung auch nicht weggehen.

Amelie schrieb:

Einiges bring gleich einen Absturz.....

Gähn... - und immer wieder gern die Nachfrage:
Fehlermeldung?
Fehlerzeile?

Amelie · 14. Januar 2024, 17:06

Fehler / Absturz
Dim query As String = $"PRAGMA table_info(@{tableName})"
Debug.WriteLine($"Class: {query}")

Fehlermeldung:
Class: PRAGMA table_info(@Regions)
SQLite error (1): near "@Regions": syntax error in "PRAGMA table_info(@Regions)"
Ausnahme ausgelöst: "System.Data.SQLite.SQLiteException" in System.Data.SQLite.dll
Ausnahme ausgelöst: "System.Data.SQLite.SQLiteException" in System.Data.SQLite.dll

Keine Fehler aber CA 2100 Warnung
Dim query As String = $"PRAGMA table_info({tableName})"
Debug.WriteLine($"Class: {query}")
..
command.CommandText = query <== Hier wird IMMER die Warnung angezeigt...

INOPIAE · 14. Januar 2024, 17:25

Amelie schrieb:

Dim query As String = $"PRAGMA table_info(@{tableName})"

das muss immer noch so lauten, achte auf die Klammern:

VB.NET-Quellcode

String = "PRAGMA table_info(@tableName)"

Und ich glaube nicht, dass Du die Funktion QuoteIdentifier benötigst. Der Parameteraufruf sorgt eigentlich für das richtige Format.

Amelie · 14. Januar 2024, 17:59

@INOPIAE

Das hatte ich auch schon getestet!! So kommt dann kein verwertbarer Ausdruck an. Deswegen hatte ich ja diese{} darum gemacht aber dann muss auch das @ weg...
Debugausgabe: ==> Class: PRAGMA table_info(@tableName)
SQLite error (1): near "@tableName": syntax error in "PRAGMA table_info(@tableName)"
Ausnahme ausgelöst: "System.Data.SQLite.SQLiteException" in System.Data.SQLite.dll

VB.NET-Quellcode

Public Sub LoadTableColumns(tableName As String)
' Zur DB verbinden und öffnen
Con2DataBase()
Dim columnList As New List(Of String)()
Dim query As String = "PRAGMA table_info(@tableName)"
Debug.WriteLine($"Class: {query}")
Using command As New SQLiteCommand(connection)
command.CommandText = query
command.Parameters.AddWithValue("@tableName", QuoteIdentifier(tableName))
Using reader As SQLiteDataReader = command.ExecuteReader()
While reader.Read()
Dim columnName As String = reader("name").ToString()
columnList.Add(columnName)
End While
End Using
End Using
CloseConnection()
RaiseEvent ColumnsLoaded(columnList)
End Sub

INOPIAE · 14. Januar 2024, 18:14

Probier mal

VB.NET-Quellcode

"PRAGMA table_info('@tableName')"

ErfinderDesRades · 14. Januar 2024, 19:07

Amelie schrieb:

SQLite error (1): near "@tableName": syntax error in "PRAGMA table_info(@tableName)"

Tja, wenn PRAGMA table_info(@tableName) einen SqLite-SyntaxError gibt, dann wäre das erste, die SqLite-Syntax-Doku nachzulesen.
Vielleicht kann SqLite keine benannten Parameter, und erwartet ? stattdessen? Oder wasweissich - ich werd die SqLite-Syntax-Doku jetzt nicht nachlesen

Haudruferzappeltnoch · 14. Januar 2024, 20:16

SQLLite ist schon ein bisschen verwirrend, aber das scheint zu stimmen das keine benannten Parameter unterstützt werden.
Davon mal abgesehen so eine Warnung hab ich noch nie gesehen. Die kommt wegen der ` im String? Ist das SQLLite spezifisch?

Amelie · 15. Januar 2024, 06:32

Guten Morgen

Also ich habe etwas gelesen und wie ich schrieb habe so viel getestet.

Wenn ich mir hier das Result ausgeben lasse:

VB.NET-Quellcode

Dim query As String = "PRAGMA table_info(@tableName)"
Debug.WriteLine($"Class: {query}")

und dann da keine der Tabellen drinsteht, stimmt etwas nicht. Und bei egal was ich als Platzhalter, in welcher Form auch immer versucht habe (@ ' + : ? ...) funktioniert es nicht.

Bei diesem funktioniert es nur das dann eben wieder diese CA2100 Warnung erscheint.

VB.NET-Quellcode

Dim query As String = $"PRAGMA table_info({tableName})"
Debug.WriteLine($"Class: {query}")

Wenn es nicht geht, dann lasse ich es eben.
Im übrigen, nur um sicher zu gehen, habe ich diese "Codeanalyse" sowohl mit VS 2015 und VS 2017 durchgeführt!

ErfinderDesRades · 15. Januar 2024, 07:26

Amelie schrieb:

Und bei egal was ich als Platzhalter, in welcher Form auch immer

probierma:

VB.NET-Quellcode

Dim query As String = "PRAGMA table_info(?)"
'...
command.Parameters.AddWithValue("@p1", QuoteIdentifier(tableName))

Amelie · 15. Januar 2024, 08:12

@ErfinderDesRades
Nein geht auch nicht, weil auch hier kein "Tabellenname" ankommt.

Hier mein letzter Versuch, der zwar funktioniert ABER noch immer den "CA2100" wirft.

VB.NET-Quellcode

Public Sub LoadTableColumns(tableName As String)
Con2DataBase()
Dim columnList As New List(Of String)()
Dim query As String = $"PRAGMA table_info({QuoteIdentifier(tableName)})"
Debug.WriteLine($"Class: {query}")
Using command As New SQLiteCommand(query, connection) ' <==== Zeile 47!
Using reader As SQLiteDataReader = command.ExecuteReader()
While reader.Read()
Dim columnName As String = reader("name").ToString()
columnList.Add(columnName)
End While
End Using
End Using
CloseConnection()
RaiseEvent ColumnsLoaded(columnList)
End Sub
Private Function QuoteIdentifier(identifier As String) As String
Return $"`{identifier.Replace("`", "``")}`"
End Function

Schweregrad Code Beschreibung Projekt Datei Zeile Unterdrückungszustand
Warnung CA2100 Die in 'DBConnection.LoadTableColumns(String)' an 'SQLiteCommand.New(String, SQLiteConnection)' übergebene Abfragezeichenfolge könnte die folgenden 'DBConnection.QuoteIdentifier(tableName)'-Variablen enthalten.
Wenn eine dieser Variablen aus Benutzereingaben stammt, sollten Sie eine gespeicherte Prozedur oder eine parametrisierte SQL-Abfrage verwenden, anstatt die Abfrage mit Zeichenfolgenverkettungen zu erstellen.
SqLightTest A:\Entwicklung\2024\SqLightTest\SqLightTest\DBConnection.vb 47 Aktiv

Amelie · 16. Januar 2024, 06:46

So ich mache das hier zu.

Es scheint keine Lösung zu geben, ich finde jedenfalls keine.

DTF · 17. Januar 2024, 08:10

Also mit Tablenamen scheint es nicht zu gehen, nur bei parametern. Das es mit den Tablenamen nicht geht, ist aber nicht schlimm. Denn Tablenamen fliessen im Normalfall nicht durch Usereingaben in den Query ein.

Wenn du so die Parameter bindest sollte es gut sein:

C#-Quellcode

private void PrintPersonID(string name)
{
using (SqliteCommand command = DbConnection.CreateCommand())
{
command.CommandText = "SELECT id FROM person WHERE name = @name";
command.Parameters.AddWithValue("@name", name);
using (SqliteDataReader reader = command.ExecuteReader())
{
while (reader.Read())
{
Debug.WriteLine(reader.GetValue(reader.GetOrdinal("id")));
}
}
}
}

Haudruferzappeltnoch · 17. Januar 2024, 11:34

Anscheinend gibt es doch benannte Parameter, der Einsatzort ist womöglich das Problem.

In SQLite sind Parameter in der Regel überall dort zulässig, wo in SQL-Anweisungen Literalwerte zulässig sind

Quelle

SQLight Sicherheit und Codeanalysen

SQLight Sicherheit und Codeanalysen

VB.NET-Quellcode

VB.NET-Quellcode

VB.NET-Quellcode

Amelie schrieb:

VB.NET-Quellcode

VB.NET-Quellcode

VB.NET-Quellcode

VB.NET-Quellcode

VB.NET-Quellcode

Amelie schrieb:

Amelie schrieb:

VB.NET-Quellcode

VB.NET-Quellcode

VB.NET-Quellcode

Amelie schrieb:

VB.NET-Quellcode

VB.NET-Quellcode

Amelie schrieb:

VB.NET-Quellcode

VB.NET-Quellcode

C#-Quellcode

Tags

Ähnliche Themen

6 Benutzer haben hier geschrieben