Estou tentando criar uma forma de automatizar o negocio de adicionar parametros na query para prevenir sql inject, mas não funciona!
Esse é meu código:
public static MySqlCommand criarQueryComParametros(string tabela, string condicao)
{
List<string> parametros = Regex.Split(condicao, "'(.*?)'").ToList();
parametros = parametros.Where(x => parametros.IndexOf(x) % 2 == 1).ToList();
string sql = "SELECT * FROM " + tabela + " WHERE " + remodelarCondicao(condicao, parametros);
MySqlCommand query = new MySqlCommand(sql, Database.conexao);
montarListaDeParametros(condicao, parametros, query);
return query;
}
public static void montarListaDeParametros(string condicao, List<string> parametros, MySqlCommand query)
{
for (int i = 0; i < parametros.Count; i++)
{
query.Parameters.AddWithValue($"@p{i}p", parametros[i]);
}
}
public static string remodelarCondicao(string condicao, List<string> parametros)
{
for (int i = 0; i < parametros.Count; i++)
{
condicao = condicao.Replace(parametros[i], $"@p{i}p");
}
return condicao;
}
Parâmetros que estou passando:
criarQueryComParametros("empresa", "email='teste@teste' AND senha='202CB962AC59075B964B07152D234B70'");
O que acontece é que ele não está montando os parâmetros, quando eu dou um Console.Log(query.CommandText)
, ele retorna:
SELECT * FROM empresa WHERE email='@p0p' AND senha='@p1p
O que eu posso estar fazendo de errado? Existe alguma maneira melhor para fazer isso?