SQL Server –在存儲過程中使用動態查詢提取用戶數據

Question

我有問題，我無法使用存儲過程查看用戶信息。 該過程接受三個參數： table ， column和searchBySomething 。 每次我想使用其他列搜索用戶時，column變量都會接收ID的列，而searchBySomething變量會接收特定的id，該過程是可行的，但是當我發送另一列時，我會收到錯誤消息

無效的列名（數據）

該過程如下所示：

ALTER PROCEDURE [dbo].[userDetailsDisplay] 
    @table NVARCHAR(30),
    @column NVARCHAR(30),
    @searchBySomething NVARCHAR(30)

    DECLARE @sql NVARCHAR(100)

    SET @sql = 'SELECT * FROM ' + @table + ' WHERE ' + @column + ' = ' + @searchBySomething 
    EXECUTE sp_executesql @sql

Answer 1

因此，您得到的特定錯誤是因為您沒有檢查輸入以查看傳遞給@column的字符串是否確實存在。 您可以根據元數據目錄視圖sys.columns進行以下檢查：

if not exists
(
    select 1
    from sys.columns
    where object_id = object_id(@table)
        and name = @column
)
begin
    raiserror('Column %s does not exist in table %t', 16, 1, @column, @table)
    return
end

但是，如果我不指出兩件事，我將被忽略。

首先，這種動態表動態where子句模式是非常不好的做法。 如果是針對已經具有數據庫訪問權限的人員，則他們只需查詢自己的表即可。 而且，如果是針對外部用戶的，那么您基本上可以通過此過程為他們提供完整的數據庫讀取訪問權限。 當然，在極少數情況下需要使用此模式，因此，如果您對使用動態sql設置得一無所知，那將引出我的下一個觀點。

您編寫的代碼容易受到SQL注入攻擊。 任何時候使用動態SQL時，都必須非常小心其構造方式。 說我輸入了列名; drop database [admin]-- ; drop database [admin]--假設您有這樣一個數據庫，我可能會很樂意被執行，而您的數據庫也會消失。

如何確保動態SQL的安全是一個復雜的話題，但是如果您想認真學習它，那可能是您可以找到的最好的文章之一。 http://www.sommarskog.se/dynamic_sql.html

通過參數化查詢並在表和列上使用quotename() ，我將其修改為如下所示。 如果有人嘗試進行注入攻擊，這仍然會引發奇怪的錯誤，但是至少它不會實際執行他們的代碼。

create procedure [dbo].[userDetailsDisplay] 
    @table nvarchar(30),
    @column nvarchar(30),
    @searchBySomething nvarchar(30)
as
begin
    declare 
        @sql nvarchar(max),
        @params nvarchar(1000)

    if not exists
    (
        select 1
        from sys.columns
        where object_id = object_id(@table)
            and name = @column
    )
    begin
        raiserror('Column %s does not exist in table %t', 16, 1, @column, @table)
        return
    end

    select @sql = '
        select * 
        from ' + quotename(@table) + ' WHERE ' + quotename(@column) + ' = @searchBySomething'

    execute sp_executesql 
        @stmt = @sql,
        @params = '@searchBySomething nvarchar(30)',
        @searchBySomething = @searchBySomething
end

Answer 2

只需檢查以確保表中存在該列。

每個@table調用，檢查@column變量是在該表中。

Answer 3

SET @sql = 'SELECT * FROM ' + @table + ' WHERE ' + @column + ' = ' +''' @searchBySomething +''''

例如： select * from table where column ='value'