Почему моя хранимая процедура работает неправильно?

Question

У меня есть приложение asp.net 4.0, работающее на базе данных SQL 2008 года. У меня есть очень простой сохраненный процесс, предназначенный для возврата записей. Это работает, когда я выполняю его в .net ide server explorer. Но когда я перебираю код .net, хотя переменная передается так, как мне нравится (и я делал много раз раньше), ничего не возвращается. Здесь хранится процедура ...

    ALTER PROCEDURE get_cases_by_search_criteria
    @vin as varchar(50) = null

AS
declare @sqlstr varchar(5000)

set @sqlstr = 'SELECT 
                [Case].CaseID, 
                [Case].VIN, 
                [Case].Make, 
                [Case].Model, 
                Contact.FirstName, 
                Contact.LastName, 
                FROM  [Case] INNER JOIN
                Contact ON [Case].CaseID = Contact.CaseID 
                Where Contact.ContactTypeID = 1 '

                if  @vin is not null and @vin <> ''
                BEGIN
                    set @sqlstr = @sqlstr + ' and ' + ('[Case].VIN = ''' + convert(varchar,@vin) + '''') 
                END

exec(@sqlstr)

А вот как я передаю значения ...

        'non-specific parameter
        param1 = oFactory.CreateParameter()
        param1.ParameterName = "@vin"
        param1.DbType = DbType.String
        param1.Value = oSearchCriteria.VIN
        oCmd.Parameters.Add(param1)

        oCmd.CommandType = CommandType.StoredProcedure
        oCmd.CommandText = "get_cases_by_search_criteria"

        Using (oConnection)
            oConnection.Open()
            oReader = oCmd.ExecuteReader()

            While oReader.Read

Answer 1

Что происходит, когда @vin равно '; DROP DATABASE UserDB; --?

Возможно, это не та проблема, которую вы хотели решить, но то, как вы используете динамический SQL, делает вас уязвимым для Атаки SQL-инъекций .

Вместо использования строки exec(@sql) следует использовать sp_executesql и параметризовать @vin

DECLARE @sqlstr varchar(5000)
DECLARE @ParmDefinition NVARCHAR(500)

SET @sqlstr  = 'SELECT 
                [Case].CaseID, 
                [Case].VIN, 
                [Case].Make, 
                [Case].Model, 
                Contact.FirstName, 
                Contact.LastName, 
                FROM  [Case] INNER JOIN
                Contact ON [Case].CaseID = Contact.CaseID 
                Where Contact.ContactTypeID = 1 '

IF  @vin is not null and @vin <> ''
BEGIN
    SET @sqlstr = @sqlstr + ' and [Case].VIN = @vinparm'
END

SET @ParmDefinition = N'@vinparm varchar(50)'

EXECUTE sp_executesql @sqlstr, @ParmDefinition, @vinparm = @vin