在 ms sql server 上进行全文搜索时如何处理用户输入？

Question

我在 ms sql server 上有一个简单的搜索机制，它使用全文“包含”。 我将搜索值作为参数传递给 contains 谓词 - 直接从用户的输入（通过 asp.net 网站）。 问题是我在各种情况下都会遇到 sql 异常： - 当用户输入两个单词时，例如“简单情况” - 当用户将 qoute 添加到搜索值时，例如“test”，

我使用如下查询进行了测试：

declare @val nvarchar(40)
set @val = N'test"' -- or 'simple case'

select x.* FROM xx as x
where CONTAINS(x.[name], @val)

通常我得到：“全文搜索条件‘xxx’中‘xxx’附近的语法错误。”问题是我想允许用户使用“*”、“or”和“and”条件进行高级查询，

您如何处理用户输入？ 您引用名称值吗？

Answer 1

在我们的应用程序中，我们使用自己的简单查询语言进行用户输入：仅操作数（带有可选通配符的单词或短语）、运算符（AND、OR、NOT）和括号。

我们解析用户输入，将其分解为各个组成部分并检查语法等。

如果我们认为输入有效，我们会将其重建为等效的 CONTAINS 条件并将其作为我们的搜索存储过程的参数。 因为我们自己创建条件，所以我们知道它在语法上是正确的。

如果用户输入无效，那么我们可以向用户返回有意义的错误消息，而根本不需要连接到数据库。

Answer 2

几年前我用这个开发了一个应用程序； 我所做的是前端给你一个文本框来输入你的术语，它有一个下拉菜单可以在几个选项之间进行选择，如下所示：

<option selected value="AND">All of the words entered</option>
<option value="OR">Any of the words entered</option>
<option value="ALL">The exact phrase entered</option>

所以我不希望他们输入 ands 或 ors - 我为他们这样做。 我确实让他们引用了一个子短语。

下面是一些完成此操作的代码。 结果短语作为参数发送给过程； 正如上面的评论者提到的，你确实必须这样做以防止 SQL 注入。 不幸的是，这段代码是遗留的 ASP VBScript，甚至没有按照该语言的标准编写得很好，但也许这会给您一个想法。

 function formatContainsString (sCriteria, sANDorOR)
    dim sReturnBuf 'where we build our string
    dim sWordList 'sCriteria split
    dim lCurPos      'where we are at in sWordList
    dim bInnerQuotes ' an open quote was found
    if sCriteria = "" or sANDorOR = "" then
        formatContainsString = ""
        exit function
    end if

    ' If the passed parameter is 'ALL' then use the exact phrase typed by users
    if sANDorOR = "ALL"  then
        formatContainsString = "'"  & chr(34) & sCriteria  & chr(34) & "'"
        Exit Function
    End If

    sReturnBuf = "'"
    sWordList = split(sCriteria," ")
    for lCurPos = 0 to ubound(sWordList)
        if bInnerQuotes then 'want to pass this as a single phrase
            sReturnBuf = sReturnBuf & " " & sWordList(lCurPos)
            if right(sWordList(lCurPos),1) = chr(34) then
               sReturnBuf = left(sReturnBuf,len(sReturnBuf)-1) & "*" & chr(34)
                sReturnBuf = sReturnBuf & " " & sANDorOR & " "'phrase is over
                bInnerQuotes = False
            end if
        else        
            if left(sWordList(lCurPos),1) = chr(34) then 
                sReturnBuf = sReturnBuf & sWordList(lCurPos)
                bInnerQuotes = True
            else
                sReturnBuf = sReturnBuf & chr(34) & sWordList(lCurPos) & "*" & _ 
                    chr(34) & " " & sANDorOR & " "'quote the word
            end if
        end if
    next
    'finally, remove the last AND or OR... and append the tick
    formatContainsString = left(sReturnBuf,len(sReturnBuf)-(len(sANDorOR)+1)) _ 
        & "'"

end function

Answer 3

根据您收到的错误，我想说您没有在查询中使用参数。 这是非常危险的，并且允许您的用户执行 sql 注入。

现在，对于您的问题，我认为最好的选择是您设置两种文本输入类型，一种用于普通用户，另一种用于高级用户，这样您就可以知道在哪里解析高级查询。