使用了 Entity Framework 这类 ORM 框架是不是就不用考虑 SQL 注入的安全问题了？

[rv54ntjwfm3ug8]

[shiweiliang]

并不是，如果有手动编写 SQL 的需求，要始终使用参数化查询

https://docs.microsoft.com/en-us/ef/core/querying/raw-sql#passing-parameters

https://docs.microsoft.com/en-us/dotnet/framework/data/adonet/ef/security-considerations

[opengps]

EF 也可以执行手写 sql ，这时候就是个例外，因为可以绕过“参数化查询”的安全操作

[shanguiyao]

如果不手动编写 SQL 呢，在项目里用用 linq ，是不是就能避免 SQL 注入了呀

[billgong]

即便是参数化也只是防得了 SQL 注入，防不了其他类型的注入。就是既要参数化查询，也要净化用户输入。

[INCerry]

只要参数化了，就能防 SQL 注入