如何防止SQL注入

Question

我正在使用存储过程。 为了节省时间，我做了一些通用的程序，使用动态sqlin命令来更新。这样的通用过程是：

CREATE PROCEDURE [dbo].[SetField]
 @company_id uniqueidentifier,
 @id bigint,
 @field_code nvarchar(50),
 @value nvarchar(50)
AS
BEGIN
 DECLARE @field_name nvarchar(50)
 SET @field_name = NULL
 SELECT @field_name=field_name
 FROM dbo.FIELD_DEFINITION
 WHERE field_code=@field_code

 IF @field_name IS NOT NULL
 BEGIN

  IF @value IS NULL OR @value=''
  BEGIN
   SET @value='NULL'
  END
  ELSE
  BEGIN
   IF @field_code='START_DATE' OR @field_code='END_DATE'
   BEGIN
    SET @value = CONVERT(datetime, @value ,103)
   END
   SET @value=''''+@value+''''
  END

  DECLARE @sql nvarchar(1000)
  SET @sql = 'UPDATE dbo.TABLE '+
     'SET '+@field_name+'='+@value+' '+
     'WHERE company_id=''' + CAST(@company_id as nvarchar(36)) + ''' AND '+
     'id='+CAST(@id as nvarchar)
  EXEC(@sql)
 END
END

如何使用此代码防止 sql 注入？

Answer 1

你说：

为了节省时间，我制作了一些使用动态sql进行更新的通用程序

如果您先询问，我们可以节省时间并建议这样做...

UPDATE
    dbo.TABLE
SET
    Field1 = CASE WHEN @field_name = 'Field1' THEN @value ELSE Field1 END,
    Field2 = CASE WHEN @field_name = 'Field2' THEN @value ELSE Field2 END,
    Field3 = CASE WHEN @field_name = 'Field3' THEN @value ELSE Field3 END,
    ...
    Fieldn = CASE WHEN @field_name = 'Fieldn' THEN @value ELSE Fieldn END
WHERE
    company_id = @company_id AND id = @id

Answer 2

关于 SQL 注入需要记住的一个重要方面是，如果可能的话，您永远不应该将用户提供的值直接嵌入到 SQL 中。这并不意味着您不能使用动态 sql（尽管如果您不使用它肯定会使事情变得更容易），但它有时确实会变得更加危险。

在您的具体示例中，您可以保留除 @field_name 之外的所有内容的参数化。不幸的是，这必须直接嵌入到 SQL 中；其他所有内容都可以再次作为参数传递，因此无需担心它们的内容。

在此特定示例中，您可以执行的最安全的操作如下：

if(exists (select 1 from INFORMATION_SCHEMA.Columns where TABLE_NAME = 'Table' and TABLE_SCHEMA = 'dbo' and COLUMN_NAME = @fieldName))
begin
    DECLARE @sql nvarchar(1000)
    SET @sql = 'UPDATE dbo.TABLE '+
       'SET ' + QUOTENAME(@field_name) + '=@value ' + 
       'WHERE company_id=@company_id AND '+
       'id=@id'

    exec sp_executesql @sql,N'@id bigint, @company_id uniqueidentifier, @value nvarchar(50)',@id,@company_id,@value
end

这会执行两件事：

1. 它验证表中是否确实存在具有该名称的列。如果用户将任何其他 SQL 语句嵌入到该字段中，则此检查将失败并且该语句将不会被执行。您还可以调用 raiseerror 来报告错误，但我会将这个练习留给您。
2. 它将字段名称括在方括号中，以便包含空格或保留字的字段名称不会破坏语句。这对您来说可能不是问题，但如果您自己生成 SQL，这始终是一个好习惯。

Answer 3

在您致电 SP 之前，我会开始寻找防止 sql 注入攻击的方法。请小心从查询字符串或表单数据拼凑而成的动态 SQL 字符串。使用 SqlCommand 对象。

编辑：
作为对评论的回应，这里很好地解释了参数化查询（SqlCommand 查询）如何帮助防止 SQL 注入。

来自 http://forums.asp.net/t/1568268.aspx：

.. .占位符 - @Id - 已成为硬编码 SQL 的一部分。在运行时，查询字符串提供的值与硬编码的 SQL 一起传递到数据库，数据库在尝试将参数值绑定到该字段时将检查 ProductID 字段。这确保了强类型的水平。如果参数值不是数据库字段的正确类型（字符串或超出字段类型范围的数字），数据库将无法将其转换为正确的类型，并将拒绝它。如果目标字段数据类型是字符串（char、nvarchar 等），则参数值将自动“字符串化”，其中包括转义单引号。它不会构成要执行的 SQL 语句的一部分。