Как мне создать параметризованный SQL-запрос? Почему я должен? - PullRequest
Новая
       51

Как мне создать параметризованный SQL-запрос? Почему я должен?

91 голосов
/ 12 февраля 2009

Я слышал, что "все" используют параметризованные SQL-запросы для защиты от атак с использованием SQL-инъекций без необходимости проверять каждую часть пользовательского ввода.

Как ты это делаешь? Вы получаете это автоматически при использовании хранимых процедур?

Так что я понимаю, что это не параметризовано: 

cmdText = String.Format("SELECT foo FROM bar WHERE baz = '{0}'", fuz)

Будет ли это параметризовано? 

cmdText = String.Format("EXEC foo_from_baz '{0}'", fuz)

Или мне нужно сделать что-то более подробное, чтобы защитить себя от внедрения SQL-кода? 

With command
    .Parameters.Count = 1
    .Parameters.Item(0).ParameterName = "@baz"
    .Parameters.Item(0).Value = fuz
End With

Есть ли другие преимущества использования параметризованных запросов помимо соображений безопасности?

Обновление: эта замечательная статья была включена в один из вопросов от Grotok. http://www.sommarskog.se/dynamic_sql.html

Ответы [ 6 ]

75 голосов
/ 12 февраля 2009

Ваш пример EXEC НЕ будет параметризован. Вам нужны параметризованные запросы (подготовленные операторы в некоторых кругах), чтобы не допустить повреждения подобного ввода:

'; DROP TABLE bar; -

Попробуйте добавить это в переменную fuz (или не делайте, если вы цените свою таблицу баров). Также возможны более тонкие и разрушительные запросы.

Вот пример того, как вы делаете параметры с Sql Server: 

Public Function GetBarFooByBaz(ByVal Baz As String) As String
    Dim sql As String = "SELECT foo FROM bar WHERE baz= @Baz"

    Using cn As New SqlConnection("Your connection string here"), _
        cmd As New SqlCommand(sql, cn)

        cmd.Parameters.Add("@Baz", SqlDbType.VarChar, 50).Value = Baz
        Return cmd.ExecuteScalar().ToString()
    End Using
End Function

Хранимым процедурам иногда приписывают предотвращение внедрения SQL. Тем не менее, в большинстве случаев вам все равно придется вызывать их с помощью параметров запроса, иначе они не помогут. Если вы используете хранимые процедуры исключительно , вы можете отключить разрешения для SELECT, UPDATE, ALTER, CREATE, DELETE и т. Д. (Почти все, кроме EXEC) для учетной записи пользователя приложения и таким образом получить некоторую защиту.

15 голосов
/ 12 февраля 2009

Определенно последний, т. Е.

Или мне нужно сделать что-то более обширное ...? (Да, cmd.Parameters.Add())

Параметризованные запросы имеют два основных преимущества:

  • Безопасность: это хороший способ избежать SQL-инъекций уязвимостей
  • Производительность: если вы регулярно вызываете один и тот же запрос только с разными параметрами, параметризованный запрос может позволить базе данных кэшировать ваши запросы, что является значительным источником повышения производительности.
  • Дополнительно: вам не придется беспокоиться о проблемах форматирования даты и времени в коде вашей базы данных. Точно так же, если ваш код когда-либо будет работать на машинах с неанглийским языком, у вас не будет проблем с десятичными точками / десятичными запятыми.
5 голосов
/ 12 февраля 2009

Вы хотите пойти с вашим последним примером, так как это единственный, который действительно параметризован. Помимо проблем безопасности (которые гораздо более распространены, чем вы думаете), лучше всего позволить ADO.NET обрабатывать параметризацию, так как вы не можете быть уверены, что передаваемое значение требует одинарных кавычек или нет, не проверяя Type каждого параметра.

[Редактировать] Вот пример: 

SqlCommand command = new SqlCommand(
    "select foo from bar where baz = @baz",
    yourSqlConnection
);

SqlParameter parameter = new SqlParameter();
parameter.ParameterName = "@baz";
parameter.Value = "xyz";

command.Parameters.Add(parameter);
2 голосов
/ 12 февраля 2009

Большинство людей делают это через библиотеку языка программирования на стороне сервера, например PHP PDO или Perl DBI.

Например, в PDO: 

$dbh=pdo_connect(); //you need a connection function, returns a pdo db connection

$sql='insert into squip values(null,?,?)';

$statement=$dbh->prepare($sql);

$data=array('my user supplied data','more stuff');

$statement->execute($data);

if($statement->rowCount()==1){/*it worked*/}

Это обеспечивает экранирование ваших данных для вставки базы данных.

Одним из преимуществ является то, что вы можете многократно повторять вставку с одним подготовленным оператором, получая преимущество в скорости.

Например, в приведенном выше запросе я мог бы подготовить оператор один раз, а затем выполнить цикл создания массива данных из набора данных и повторить -> выполнить столько раз, сколько необходимо.

1 голос
/ 12 февраля 2009

Текст вашей команды должен быть таким: 

cmdText = "SELECT foo FROM bar WHERE baz = ?"

cmdText = "EXEC foo_from_baz ?"

Затем добавьте значения параметров. Этот способ гарантирует, что значение con будет использоваться только как значение, тогда как с другим методом, если переменная fuz установлена ​​в 

"x'; delete from foo where 'a' = 'a"

ты видишь, что может произойти?

0 голосов
/ 27 мая 2018

Вот краткий класс для начала с SQL, и вы можете построить его и добавить в класс.

MySQL 

Public Class mysql

    'Connection string for mysql
    Public SQLSource As String = "Server=123.456.789.123;userid=someuser;password=somesecurepassword;database=somedefaultdatabase;"

    'database connection classes

    Private DBcon As New MySqlConnection
    Private SQLcmd As MySqlCommand
    Public DBDA As New MySqlDataAdapter
    Public DBDT As New DataTable
    Public BindSource As New BindingSource
    ' parameters
    Public Params As New List(Of MySqlParameter)

    ' some stats
    Public RecordCount As Integer
    Public Exception As String

    Function ExecScalar(SQLQuery As String) As Long
        Dim theID As Long
        DBcon.ConnectionString = SQLSource
        Try
            DBcon.Open()
            SQLcmd = New MySqlCommand(SQLQuery, DBcon)
            'loads params into the query
            Params.ForEach(Sub(p) SQLcmd.Parameters.AddWithValue(p.ParameterName, p.Value))

            'or like this is also good
            'For Each p As MySqlParameter In Params
            ' SQLcmd.Parameters.AddWithValue(p.ParameterName, p.Value)
            ' Next
            ' clears params
            Params.Clear()
            'return the Id of the last insert or result of other query
            theID = Convert.ToInt32(SQLcmd.ExecuteScalar())
            DBcon.Close()

        Catch ex As MySqlException
            Exception = ex.Message
            theID = -1
        Finally
            DBcon.Dispose()
        End Try
        ExecScalar = theID
    End Function

    Sub ExecQuery(SQLQuery As String)

        DBcon.ConnectionString = SQLSource
        Try
            DBcon.Open()
            SQLcmd = New MySqlCommand(SQLQuery, DBcon)
            'loads params into the query
            Params.ForEach(Sub(p) SQLcmd.Parameters.AddWithValue(p.ParameterName, p.Value))

            'or like this is also good
            'For Each p As MySqlParameter In Params
            ' SQLcmd.Parameters.AddWithValue(p.ParameterName, p.Value)
            ' Next
            ' clears params

            Params.Clear()
            DBDA.SelectCommand = SQLcmd
            DBDA.Update(DBDT)
            DBDA.Fill(DBDT)
            BindSource.DataSource = DBDT  ' DBDT will contain your database table with your records
            DBcon.Close()
        Catch ex As MySqlException
            Exception = ex.Message
        Finally
            DBcon.Dispose()
        End Try
    End Sub
    ' add parameters to the list
    Public Sub AddParam(Name As String, Value As Object)
        Dim NewParam As New MySqlParameter(Name, Value)
        Params.Add(NewParam)
    End Sub
End Class

MS SQL / Express 

Public Class MSSQLDB
    ' CREATE YOUR DB CONNECTION
    'Change the datasource
    Public SQLSource As String = "Data Source=someserver\sqlexpress;Integrated Security=True"
    Private DBCon As New SqlConnection(SQLSource)

    ' PREPARE DB COMMAND
    Private DBCmd As SqlCommand

    ' DB DATA
    Public DBDA As SqlDataAdapter
    Public DBDT As DataTable

    ' QUERY PARAMETERS
    Public Params As New List(Of SqlParameter)

    ' QUERY STATISTICS
    Public RecordCount As Integer
    Public Exception As String

    Public Sub ExecQuery(Query As String, Optional ByVal RunScalar As Boolean = False, Optional ByRef NewID As Long = -1)
        ' RESET QUERY STATS
        RecordCount = 0
        Exception = ""
        Dim RunScalar As Boolean = False

        Try
            ' OPEN A CONNECTION
            DBCon.Open()

            ' CREATE DB COMMAND
            DBCmd = New SqlCommand(Query, DBCon)

            ' LOAD PARAMS INTO DB COMMAND
            Params.ForEach(Sub(p) DBCmd.Parameters.Add(p))

            ' CLEAR PARAMS LIST
            Params.Clear()

            ' EXECUTE COMMAND & FILL DATATABLE
            If RunScalar = True Then
                NewID = DBCmd.ExecuteScalar()
            End If
            DBDT = New DataTable
            DBDA = New SqlDataAdapter(DBCmd)
            RecordCount = DBDA.Fill(DBDT)
        Catch ex As Exception
            Exception = ex.Message
        End Try


        ' CLOSE YOUR CONNECTION
        If DBCon.State = ConnectionState.Open Then DBCon.Close()
    End Sub

    ' INCLUDE QUERY & COMMAND PARAMETERS
    Public Sub AddParam(Name As String, Value As Object)
        Dim NewParam As New SqlParameter(Name, Value)
        Params.Add(NewParam)
    End Sub
End Class
...