Injection SQL et menu déroulant

salut,
Quel est le risque d'injection SQL dans une application ASP.NET utilisant un menu déroulant comme paramètre d'une requête?

Par exemple, sur la page aspx, il y a un control de ce genre :

Code:

---

1 2 3 4 5

<asp:DropDownList ID="dd1" runat="server"> <asp:ListItem Value="toto">toto</asp:ListItem> <asp:ListItem Value="titi">titi</asp:ListItem> <asp:ListItem Value="tata">tata</asp:ListItem> </asp:DropDownList>

---

et dans le code behind

Code:

---

string query = String.Format("Select * From myTable where user like '%{0}%'",dd1.SelectedItem.Value);

---

Je sais que c'est mal de concaténer la requête ainsi. C'est promis, je ne le fais pas. C'est juste par curiosité. Est ce qu'un tel code est vraiment sujet au injection SQL?

Merci de vos éclairages

Citation:

---

Envoyé par julien.63

Je sais que c'est mal de concaténer la requête ainsi.

---

Sans même parler d'appeler l'accès données depuis le code behind .....

Sinon, il me semble que asp.net a une protection native contre l'injection sql et le x-scripting. Quelle est son efficacité ? je ne sais pas, comme développer en violation de couche n'est pas ma tasse de thé, le problème se pose rarement.