SQL Serverの：引数のためにインジェクション攻撃に対する@param

Question

サニタイジング、ちょうど私がINSERTを持つSQLクエリを含むローカル変数を作成に持ってとしましょう：

DECLARE @insert NVARCHAR(MAX) 
SELECT @insert = 'INSERT INTO [dbo].[' + @table + '] VALUES... 
EXEC (@insert) 

これINSERTでもあります列の値含めるしよう：今すぐ

DECLARE @insert NVARCHAR(MAX) 
SELECT @insert = 
    'INSERT INTO [dbo].[' + @table + '] VALUES (N''' + @message + ''')' 
EXEC (@insert) 

を、私は明らかにインジェクション攻撃を懸念だし、その@メッセージの値は、@挿入の値が悪意のあるまたはEXECへのクエリとして不正な形式にすることはできませんことを確認したいと思います。

これは私の質問に私をもたらします。「メッセージの文字を十分にエスケープしていますか？ @messageに出てくる可能性のある他の文字がありますか？

例：

DECLARE @insert NVARCHAR(MAX) 
SELECT @message = REPLACE(@message,'''','''''') 
SELECT @insert = 
    'INSERT INTO [dbo].[' + @table + '] VALUES (N''' + @message + ''')' 
EXEC (@insert) 

（私は「がに持っている」と言うとき、INSERT先のテーブルである、私のクエリは、ストアドプロシージャであるため、これは、このストアドプロシージャが@table受け入れます私は自分のアーキテクチャについて議論することに興味がありませんし、INSERTするテーブルがプロシージャのパラメータで「動的に」指定されているのはなぜですか？EXEC（）以外の方法でテーブルを指定する方法プロシージャパラメータとしてテーブル名が受け取られたときにINSERTします。。

Answer 1

sp_executesqlと組み込みのquotename()を使用してください。この記事、The Curse and Blessings of Dynamic SQLは、かなり参考になります。

Answer 2

EXEC（@somesql）を呼び出すのではなく、sp_executesql stored procedureを使用することをお勧めします。具体的には、これによりパラメータを渡すことができ、システムはパラメータが有効であることをチェックします。

Answer 3

まず、正規のT-SQLでスキーマ情報を照会し、最初にテーブル名が存在することを確認します。このようにして、不正な形式のSQLの場合、コードとして実行されません。これはVARCHAR表名になります。

DECLARE @Table AS VARCHAR(MAX) 
DECLARE @Exists AS BIT 

SET @Table = 'Vicious malformed dynamic SQL' 

SELECT @Exists = COUNT(TABLE_NAME) 
FROM INFORMATION_SCHEMA.TABLES 
WHERE TABLE_NAME = @Table 

IF (@Exists = 1) 
    BEGIN 
    PRINT 'Table exists' 
    -- Execute dynamic SQL. 
    END 
ELSE 
    PRINT 'Invalid table' 

それはSQLを期待するので、私のテストによるとさえ2008年には、

Answer 4

はどうやら（QUOTENAMEする128の長さの制限があります）（または単にIFは、（SELECT ...）EXISTSを使用）識別子。

CREATE FUNCTION quotestring(@string nvarchar(MAX)) 
RETURNS nvarchar(MAX) AS 
BEGIN 
    RETURN(REPLACE(@string,'''','''''')) 
END 

：したがって、私はそうのように、上記の）答えは（REPLACEの外に関数を作成することであることを提案しています

REPLACE(@variable,'''','''''') 

：参照は、同じことをやっquotestring()機能を、作成示唆します

...私が何か誤解していない限り。