如何安全地将表名作为参数传递给 SQL Server 存储过程？

将表名称安全地传递给 SQL Server 存储过程

将表名动态传递给存储过程可以增强数据库的灵活性。 然而，安全必须是最重要的。 本指南详细介绍了 SQL Server 中此常见任务的最佳实践。

防止 SQL 注入：

直接将用户输入连接到 SQL 查询中是一个主要漏洞。 这为 SQL 注入攻击打开了大门。

采用参数化：

参数化查询是安全参数传递的基石。使用占位符（例如 ?）可以防止恶意输入被解释为 SQL 代码。 数据库系统处理正确的转义。

动态表名称解析：

动态 SQL 与适当的验证相结合，可以安全地检索表名。 这是一个例子：

<code class="language-sql">CREATE PROC spCountAnyTableRows (@PassedTableName VARCHAR(255))
AS
BEGIN
    DECLARE @ActualTableName VARCHAR(255);

    SELECT @ActualTableName = QUOTENAME(TABLE_NAME)
    FROM INFORMATION_SCHEMA.TABLES
    WHERE TABLE_NAME = @PassedTableName;

    DECLARE @SQL NVARCHAR(MAX);
    SET @SQL = N'SELECT COUNT(*) FROM ' + @ActualTableName + N';';

    EXEC sp_executesql @SQL;
END;</code>

这种方法会在构建和执行查询之前验证表名是否存在，从而最大限度地降低注入风险。

主要考虑因素：

• QUOTENAME 对于转义特殊字符至关重要，但它本身并不是一个完整的安全解决方案。 始终将其与表存在性检查结合起来。
• 参数化不仅仅限于表名；它对于动态列名和其他数据库对象至关重要。
• 与内联参数化查询相比，存储过程为动态 SQL 提供了一种结构化且安全的方法。

以上是如何安全地将表名作为参数传递给 SQL Server 存储过程？的详细内容。更多信息请关注PHP中文网其他相关文章！