修复相关漏洞

SimpleAdmin.Core/BaseInput/BasePageInput.cs

@@ -1,4 +1,4 @@
-// Copyright (c) 2022-Now 少林寺驻北固山办事处大神父王喇嘛
+// Copyright (c) 2022-Now 少林寺驻北固山办事处大神父王喇嘛
 // 
 // SimpleAdmin 基于 Apache License Version 2.0 协议发布，可用于商业项目，但必须遵守以下补充条款:
 // 1.请不要删除和修改根目录下的LICENSE文件。
@@ -45,26 +45,37 @@ public class BasePageInput : IValidatableObject
 
     public IEnumerable<ValidationResult> Validate(ValidationContext validationContext)
     {
-        //配合小诺排序参数
-        if (SortOrder == "descend")
+        SortOrder = (string.IsNullOrWhiteSpace(SortOrder) ? "desc" : SortOrder.Trim().ToLowerInvariant()) switch
         {
-            SortOrder = "desc";
-        }
-        else if (SortOrder == "ascend")
-        {
-            SortOrder = "asc";
-        }
-        if (!string.IsNullOrEmpty(SortField))
-        {
-            //分割排序字段
-            var fields = SortField.Split(" ");
-            if (fields.Length > 1)
-            {
-                yield return new ValidationResult("排序字段错误", new[]
-                {
-                    nameof(SortField)
-                });
-            }
-        }
+            "ascend" => "asc",
+            "descend" => "desc",
+            var value => value
+        };
+        if (SortOrder != "asc" && SortOrder != "desc")
+            yield return new ValidationResult("排序方向仅支持 asc/desc", new[] { nameof(SortOrder) });
+
+        if (!string.IsNullOrEmpty(SortField)
+            && !global::System.Text.RegularExpressions.Regex.IsMatch(
+                SortField, @"\A[A-Za-z_][A-Za-z0-9_]{0,63}\z"))
+            yield return new ValidationResult("排序字段格式不正确", new[] { nameof(SortField) });
     }
-}
+
+    /// <summary>
+    /// 将客户端字段映射为服务端白名单列，禁止把排序表达式传入 ORM。
+    /// 服务层再次校验，避免非 HTTP 调用绕过 MVC 参数校验。
+    /// </summary>
+    public string GetSafeOrderBy(params string[] allowedFields)
+    {
+        var error = Validate(new ValidationContext(this)).FirstOrDefault();
+        if (error != null)
+            throw Oops.Bah(error.ErrorMessage);
+        if (string.IsNullOrEmpty(SortField))
+            return string.Empty;
+        var field = allowedFields.FirstOrDefault(item =>
+            string.Equals(item, SortField, StringComparison.OrdinalIgnoreCase));
+        if (field == null)
+            throw Oops.Bah("不支持按此字段排序");
+        return $"{field} {SortOrder}";
+    }
+
+}