非SELECT SQL文の防止

Question

私は、ユーザが自分自身のSQL文を入力することを許可していますが、それはSELECT文の場合に限ります。 SQL文がこれ以外のもの、つまりALTER、INSERT、DROPなどであるかどうかを検出する方法はありますか？私は、テーブルをロックするクエリなどの他の懸念について心配しますが、これは今すぐ概念の証明です。私は、アプリケーションを実行しているサーバー上のサービスアカウントをdbに対して読み取り専用権限に制限することができますが、アプリで処理されていることに興味があります。

これは私のアプローチでは、クエリの最初の単語を検出することによって、これは脆弱です。この検出を行うためのよりクリーンな方法がありますか？

public void ExecuteQuery(string connectionString, int id) 
{ 
    //The SQL statement will be user input 
    var sql = "SELECT ColumnA, ColumnB, ColumnC FROM MyTable where MyTableId = @Id"; 
    var split = sql.Split(' '); 

    if (split[0].ToUpper() != "SELECT") Console.WriteLine("Only use a SELECT statement."); 
    else 
    { 
     using (var connection = new SqlConnection(connectionString)) 
     using (var cmd = new SqlCommand(sql, connection)) 
     { 
      cmd.Parameters.AddWithValue("@Id", SqlDbType.Int); 
      cmd.Parameters["@Id"].Value = id; 
      connection.Open(); 

      var reader = cmd.ExecuteReader(); 
      try 
      { 
       while (reader.Read()) 
       { 
        Console.WriteLine($"{reader["ColumnA"]}, {reader["ColumnB"]}, 
             {reader["ColumnC"]}"); 
       } 
      } 
      finally 
      { 
       reader.Close(); 
      } 

      cmd.ExecuteNonQuery(); 
     } 
    } 
} 

Answer 1

これをアプリケーションコードで管理しようとする試みを取り除きます。代わりにSQL Serverを使用します。

物事を管理するための良い方法は、以下を行うことです。

1. 新しいスキーマを作成します。
2. データベースロールを作成します。ロールはスキーマを所有する必要があります。
3. 公開するビューを1：1にしても、スキーマに表示する必要があります。
4. ロールにサービスアカウントを追加します。

サービスアカウントはビューからのみ選択でき、公開するものと選択できるデータを完全に制御できます。

これは、他の開発者やDBAの場合でも、簡単に検索/監査可能です。また、スキーマの変更による影響を把握することもできます。