Comment paramétrer SQL dans les clauses avec des arguments dynamiques en toute sécurité et en toute sécurité?

Utiliser le paramètre dynamique Paramétrage SQL dans les clauses

Lors du traitement des requêtes SQL qui utilisent les paramètres dans les clauses contenant des variables, le paramétrage est essentiel pour améliorer les performances et la sécurité. Cet article se concentre sur une méthode de paramétrage efficace pour éviter d'utiliser des procédures de stockage ou une technologie XML.

Paramètres de remplissage dynamique

La méthode discutée ici implique l'utilisation de valeurs paramétrées pour créer une clause dynamique dans la clause. Par exemple, l'exemple de requête fournie dans la question:

peut être paramétré comme:

SELECT * FROM Tags
WHERE Name IN ('ruby','rails','scruffy','rubyonrails')
ORDER BY Count DESC

Cette technologie génère une requête avec une valeur paramétrée:

string[] tags = new string[] { "ruby", "rails", "scruffy", "rubyonrails" };
string cmdText = "SELECT * FROM Tags WHERE Name IN ({0})";

string[] paramNames = tags.Select((s, i) => "@tag" + i.ToString()).ToArray();
string inClause = string.Join(", ", paramNames);
using (SqlCommand cmd = new SqlCommand(string.Format(cmdText, inClause)))
{
    for (int i = 0; i < tags.Length; i++)
    {
        cmd.Parameters.AddWithValue(paramNames[i], tags[i]);
    }
    // ... 执行查询 ...
}

Ensuite, le code sera

,

SELECT * FROM Tags WHERE Name IN (@tag0, @tag1, @tag2, @tag3)

,

, @tag0 définir la valeur du paramètre. @tag1 @tag2 Précautions de sécurité @tag3

Il faut souligner que cette méthode de paramétrage n'est pas vulnérable à SQL en attaque, car la valeur fournie par l'utilisateur ne sera pas directement intégrée dans le commandtext. Au lieu de cela, ils sont injectés dans la requête en tant que paramètre pour s'assurer que l'instruction SQL malveillante ne peut pas être effectuée. Plan de requête du cache et paramètres dynamiques

Bien que le paramétrage dynamique offre un avantage de sécurité, il peut affecter l'efficacité du plan de requête de cache. Cela est dû aux modifications du nombre de paramètres que les nouveaux plans de requête doivent être créés pour chaque combinaison unique. Cependant, dans le cas où la requête est relativement simple et le nombre de paramètres est limité, l'effet de performance peut être négligeable.

Pour les requêtes plus compliquées ou un grand nombre de paramètres possibles, d'autres méthodes qui permettent l'utilisation de plans de requête de cache peuvent devoir être prises en compte.

Ce qui précède est le contenu détaillé de. pour plus d'informations, suivez d'autres articles connexes sur le site Web de PHP en chinois!