如何在 SQL 查询中安全地动态设置表名？

在 SQL 查询中安全地使用动态表名称

在 SQL 查询中动态指定表名是可以实现的，但需要针对 SQL 注入漏洞采取强有力的保护措施。 推荐的方法利用内置的 SQL Server 函数：

1. 声明一个变量来保存表名称：

   <code class="language-sql"> DECLARE @TableName NVARCHAR(100);</code>

2. 将表名称分配给变量：

   <code class="language-sql"> SET @TableName = '<[db].><[schema].>tblEmployees';</code>

3. 检索表的对象 ID：

   <code class="language-sql"> SET @TableID = OBJECT_ID(@TableName);</code>

4. 为了安全起见，使用对象 ID 构造 SQL 查询：

   <code class="language-sql"> SET @SQLQuery = 'SELECT * FROM ' + QUOTENAME(OBJECT_NAME(@TableID)) + ' WHERE EmployeeID = @EmpID';</code>

5. 使用 sp_executesql 执行查询:

   <code class="language-sql"> EXECUTE sp_executesql @SQLQuery, @ParameterDefinition, @EmpID;</code>

此方法确保表名得到安全处理，通过使用 OBJECT_ID 和 QUOTENAME 在将输入合并到 SQL 语句之前对其进行清理来防止 SQL 注入攻击。 将 sp_executesql 与参数化查询一起使用进一步增强了安全性。

以上是如何在 SQL 查询中安全地动态设置表名？的详细内容。更多信息请关注PHP中文网其他相关文章！