如何使用參數在動態 SQL 查詢中安全地設定表名？

動態SQL查詢：使用參數設定表名

在處理動態SQL查詢時，通常需要根據輸入參數動態設定表名。雖然設定ID等參數很簡單，但設定表名卻可能帶來挑戰。

失敗嘗試：

提供的程式碼中示範的初始方法是直接在SQL查詢字串中設定表名。但是，這種方法容易受到SQL注入攻擊。

使用OBJECT_ID函數的解：

為了確保安全性並避免惡意的SQL注入，建議使用OBJECT_ID函數來動態解析表名的物件ID。這樣做，格式錯誤或註入的表名將無法解析，從而防止安全漏洞。

以下是更新後的程式碼：

<code class="language-sql">...
SET @TableName = '<[db].><[schema].>tblEmployees'
SET @TableID = OBJECT_ID(@TableName) --如果格式错误/注入，则不会解析。
...
SET @SQLQuery = 'SELECT * FROM ' + QUOTENAME(OBJECT_NAME(@TableID)) + ' WHERE EmployeeID = @EmpID'</code>

以上是如何使用參數在動態 SQL 查詢中安全地設定表名？的詳細內容。更多資訊請關注PHP中文網其他相關文章！