asp.netでストアドプロシージャを使用してデータを挿入するベストプラクティス

ストアドプロシージャを使用してSQLデータベースにデータを挿入するためのベストプラクティスパターンに従う人がいるかどうかは疑問でした。つまり、検証済みのデータをストアドプロシージャに渡すためにはどのような手順を取るべきですか。asp.netでストアドプロシージャを使用してデータを挿入するベストプラクティス

出典

2009-08-04 Mohit

私はあなたの質問を理解していません。明らかな答えは、「使用する前にデータを検証する」ですが、それはあまりにも明白な意味です。どうか明らかにしてください。 –

データは取得時に検証されていないのですか？ – Martin

いいえ私は、サイズとデータ型について、データを検証しています。しかし、ハッカーがJavaScriptコードやSQLコードを追加しようとするとどうなりますか？どうすればこれらのものを罠に入れることができますかさらに、このステートメントをパラメータの入力に使用するだけでもかまいません。 cm.Parameters.AddWithValue（ "@ UserID"、TxtID.Text.ToString（））; 私はちょうどこれらのもののための良い練習パターンがあるかどうかを知りたいと思っていました。 – Mohit

ORMを使用しているのか、直接データベースアクセスを使用しているのかによって、これを行うさまざまな方法があります。 1つは、SPパラメータを作成するためにSqlParameterオブジェクトを使用する必要があることです。私はあなたが上の層でストアドプロシージャの実装を検証のための任意のロジックを埋め込むことをお勧めがあり、さまざまなオプションを備えたSqlParameterを作成するためのさまざまな方法がありますが、最も簡単な形式は

SqlParameter[] prms = new SqlParameter[1]; prms[0] = new SqlParameter("@userid", "Bob");

出典

2009-08-04 16:16:45

しかし、JavaScriptやSQLコードをテキストボックスに渡すと、JavaScriptやSQLコードをトラップできますか？たとえば、ユーザーに電子メールメッセージを書くことを許可しています。メールを送信する前に、そのメッセージもdbに保存しています。しかし、ユーザー/ハッカーがSQLで完全に機能するコードを書いて、自分のサイトをハックしたり、データを破損したりすることは望ましくありません。私はSQLのパラメータを使用していますが、それは安全ですか？ – Mohit

パラメータを使用すると、ハッカーはSQLインジェクションを実行できません。 –

コディーCさんから与えられた声明が私にとっては十分であるとか、他にも何かをする必要があるのですか？ – Mohit

です。このようにして、実装と公開にもっと柔軟に対応できます。簡単な例として、検証ライブラリを複数のプロジェクトに再利用することができます。ほとんどのORMライブラリは、コンパイル時に適切な型の割り当てを検証することで、最も単純な形式で検証をサポートします。

より上のトランザクションロジックをストアドプロシージャに実装することをお勧めします。

出典

2009-08-04 16:38:48 t3rse

良いORMライブラリがあれば教えてください。 – Mohit

私は本当に、本当にSubSonic [http://subsonicproject.com/Download]を見つけます。私は2.2で楽しい経験がありましたが、まだ新しくリリースされた3.0を使用していません。 – t3rse

asp.netでストアドプロシージャを使用してデータを挿入するベストプラクティス

答えて

関連する問題