Każda próbka, którą widziałem, korzysta z procedur przechowywanych. Przyjąłem starą aplikację napisaną w klasycznej ASP, która używa wbudowanego SQL. Jest to oczywisty problem, więc muszę przekonwertować go na bezpieczniejszy kod. Klient nie życzy sobie stosowania procedur składowanych w tej aplikacji, więc czy istnieje sposób na uruchamianie sparametryzowanych zapytań bez procedur składowanych?Sparametryzowane zapytania BEZ procedur przechowywanych?
Dzięki
Tak, jest. Wystarczy popatrzeć na niektóre z tych przykładów:
http://www.securestate.blogspot.com/2008/09/classic-asp-sql-injection-prevention_30.html http://www.userfriendlythinking.com/Blog/BlogDetail.asp?p1=7013&p2=119&p7=3001
Czy jest jakiś powód, dla którego klient nie chce korzystać z procedury przechowywane? O wiele łatwiej jest używać procedur składowanych zarówno na poziomie bazy danych, jak i kodu źródłowego. Jeśli korzystasz z drugiej metody z powyższego, powinieneś uzyskać buforowanie z zapytaniem o kwerendę, ale w zależności od tego, co robisz, możesz być lepiej z prostymi sprocjami, jeśli możesz przekonać swojego klienta, że można z niego korzystać. Jeśli wszystko inne zawiedzie, powyższe linki są dość solidne, zwłaszcza drugie.
- 1: "łatwiejsze" jest subiektywne, a korzystanie z procedur przechowywanych nie jest gwarancją zastrzyku SQL. – RedFilter
Nie myślę przez chwilę, że to subiektywna sprawa. Jest to standardowa koncepcja rozwoju wielowarstwowego, oddzielająca warstwy logiczne od danych. Nigdy też nie powiedziałem, że procedury przechowywane _guarantee_ ochrony przed iniekcją SQL. Sparametryzowane kwerendy i procedury przechowywane zapobiegną wielu sytuacjom wynikającym z leniwego kodowania, umożliwiającemu wstrzyknięcie SQL, ale nie zapobiegnie to między innymi narażaniu dynamicznych zapytań w plikach sprocs. Głosowanie w dół wydaje się nieodpowiednie, biorąc pod uwagę, że była to ważna i wnikliwa odpowiedź. – tcnolan
Pierwszy link nie działa – Chris
To zadziałało dobrze dla mnie –
Właśnie testowałem. Wydaje się, że nie ładuje się bez strony www, ale jest z nią w porządku. Dzięki! – Chris