清理用户创建的动态SQL查询。只允许SELECT（没有INSERT，UPDATE，DELETE，DROP，EXEC等等＆hellip;）
我正在开发一个带有Microsoft SQL Server 2005数据库的ASP2.0网站。
我需要实现一个功能，允许用户创建一个选择查询（没有太复杂），以便网站显示一个页面，其中包含查询的结果集。
我的问题是如何清理查询以确保没有插入/更新/删除/删除或其他恶意注入。
另外，我需要将查询封装在“with”子句中，以便我可以在结果集中添加标识列。 （我需要在页面上正确显示结果）
用于格式化查询的我的CSharp代码看起来像这样（简化了一点）：
string query = txtQuery.Text;
query = query.ToLower();
query = query.Trim();
int orderByIndex = query.LastIndexOf("order by");
string orderBy = "";
if (orderByIndex != -1)
{
orderBy = query.Substring(orderByIndex);
query = query.Replace(orderBy, "");
}
query = "with query as (" + query + ") select row_number() over(order by (select 0)) as rowID, * from query " + orderBy;
CREATE PROCEDURE usp_execute_query
@sql nvarchar(max)
with execute as 'RestrictedUser'
as
begin
exec sp_executesql @sql
end
CREATE USER RestrictedUser WITHOUT LOGIN
EXEC sp_addrolemember db_datareader, RestrictedUser
没有找到相关结果
已邀请:
1 个回复
丧泉缝锋