c# - Fortify - 动态 SQL 语句的 SQL 注入问题

Question

场景 - 在应用程序中我们动态创建 SQL 语句。

string query = ”Select {0} from TABLENAME where {1}”;
string.Format(query, columnNames, whereClause);

这些变量列名来自我们自己域中的第三方服务。但是，在运行此代码的强化扫描时，我收到了 SQL 注入错误。该消息表明数据columnNames来自 UNTRUSTED 服务。我该如何处理这种情况？

标签： c#oraclefortify