ASP Classic - 记录集对象与命令对象

Question

我正在使用 ASP Classic 和 SQL Server 2000 创建动态网站。

我对查询数据库时何时使用记录集对象以及何时使用命令对象有点困惑。

有人告诉我，如果存储过程将从 SELCT 语句返回记录，那么我应该使用记录集，但是如果我要更新或插入，那么我应该使用命令对象并将所有数据作为参数传递给存储过程。

使用记录集时，我经常传递任何所需的数据，如下所示：

rs.Source = "spTest "   & id

我总是验证传递的数据以确保它是我所期望的并将其转换为正确的类型。

然而，后来我被告知，上述方法使我的代码容易受到 SQL 注入攻击，并且我应该始终使用命令对象。

这是正确的吗？

谢谢

Answer 1

是的，没错。

想象一下有人传递字符串：'0;从用户中删除*；'

那么您的查询将是：

spTest 0; delete * from users;

如果幸运的话，您将不会有用户表。就我个人而言，为了保持一致性，我会一直使用命令对象。你可以从中得到你需要的一切。

以下是如何使用命令对象执行此操作的快速示例：

    Dim oStoredProc : Set oStoredProc = Server.CreateObject("ADODB.Command")

    With oStoredProc
        .ActiveConnection = oDBConnection
        .CommandType = adCmdStoredProc
        .CommandText = "up_procname"
        .Parameters.Append(.CreateParameter("@Param1", ADODB.adInteger, ADODB.adParamInput, 22, 11))
        .Parameters.Append(.CreateParameter("@Param2", ADODB.adInteger, ADODB.adParamOutput, 22, 12)

        Call .Execute()

        myVal = .Parameters("@Param2")
    End With

    Set oStoredProc = Nothing

Answer 2

您被告知的确实是正确的：您应该始终使用命令对象来防止 SQL 注入。 ，甚至可能会获得一些性能改进（这些参数化查询由 SQL Server 缓存）。

使用参数化查询，您可以将参数的所有安全性和验证工作留给 ADO 层（尽管您仍然应该自己进行适当的验证） 一个命令有两个选择：要么执行的 SQL 返回行（SELECT 语句或某些存储过程），然后必须使用记录集来存储这些行，要么不返回行（UPDATES、DELETES、其他过程） ，那么你只需执行命令而不用担心记录集。

编辑：只是为了确保一切对你来说都清楚，我使用了上面的 James Wiseman 的代码并将其改编为你的示例：

Dim oStoredProc : Set oStoredProc = Server.CreateObject("ADODB.Command")

With oStoredProc
    .ActiveConnection = oDBConnection
    .CommandType = adCmdStoredProc
    .CommandText = "spTest ?"
    .Parameters.Append(.CreateParameter("id", ADODB.adInteger, ADODB.adParamInput, id, 11))
    Dim rs : Set rs = .Execute()
End With

Set oStoredProc = Nothing

没有测试它，但应该没问题:-)

最后但并非最不重要的：即使你很好现在受到保护，不要忘记，如果您在存储过程中使用动态 SQL，您可能仍然存在 SQL 注入安全漏洞（我想说，一旦您连接字符串来创建 SQL，您可能很容易受到攻击）！