SqlCommand - 防止其他数据库中的存储过程调用

Question

当使用SqlCommand通过RPC调用存储过程时，看起来可以调用当前数据库以外的数据库中的存储过程。

例如：

string storedProcName = "SomeOtherDatabase.dbo.SomeStoredProc";    
SqlCommand cmd = new SqlCommand(storedProcName);
cmd.CommandType = CommandType.StoredProcedure;

我想通过禁止对另一个数据库的潜在调用来使我的 DAL 代码更具限制性。一种方法可能是检查上面的storedProcName中是否有两个句点（点），如果有，则抛出异常。还有其他想法/方法吗？

谢谢。

Answer 1

通常此类限制是在服务器端配置的。
SQL Server 具有非常广泛的安全模型，允许它通过向特定“主体”（用户或组）授予特定数据库对象（表、视图、存储过程、架构...）

您建议让 DAL 层应用一些限制，以防止在与 ADO 连接关联的默认数据库之外使用存储过程，这表明了对于“发送到 SQL”的内容采取了积极主动的态度”。一般来说，这是一种有价值的态度（例如防止 SQL 注入），但在这种情况下，我建议不要这样做：
如果将来某个时候需要特定的“外部”存储过程怎么办？另外，如果当前数据库上有多个存储过程应该禁止应用程序使用（因为它们仅用于维护/数据加载/审核/其他任何内容）怎么办？通过引入一些 DAL 级别限制，您可能会在以后遇到困难，并且可能会导致您相信访问控制是足够的，但事实可能并非如此......

Answer 2

您的数据库中可能存在名称中带有点的过程：

create procedure dbo.[Dots.In.Name]
as

正如 Hallie 所说，您最好充分保护服务器（不要在其他数据库中为 SqlConnection 使用的任何帐户授予任何权限）。

另外，如果您正在处理 2005 或 2008 数据库，则当前数据库中可能有一个同义词实际上引用了另一个数据库，或者当然，当前数据库中的任何存储过程都可能调用另一个服务器/数据库中的存储过程。

因此，基本上，控制您的数据库服务器（控制创建哪些对象以及授予哪些权限），并编写更少的代码来尝试覆盖服务器现在可以充分响应的情况。