Имя таблицы параметров в .NET / SQL?

Вы можете передать имя таблицы как параметр, как и любой другой параметр. ключ в том, что вам нужно создать динамический оператор sql, который затем следует рассмотреть, проще ли создать его на уровне вашего приложения или в процессах.

create procedure myProc

@tableName nvarchar(50)

as

sp_executesql N'select * from ' + @tablename

fyi, этот образец кода взят из памяти, посмотрите на BOL, чтобы узнать правильный синтаксис sp_executesql.

Кроме того, это очень восприимчиво к SQL-инъекции, поскольку вы указали, что это не проблема для вас, но любой, кто это читает, должен очень осторожно принимать ввод от пользователя для генерации своих запросов, подобных этому.

Параметры SQL-запроса могут заменять только буквальное значение. Вы не можете использовать параметр для имени таблицы, имени столбца, списка значений или другого синтаксиса SQL. Это стандартное поведение SQL для всех типов баз данных.

Единственный способ сделать имя таблицы динамическим - это интерполировать переменную в ваш SQL-запрос до того, как вы подготовите эту строку как инструкцию.

Кстати, вы обманываете себя, если думаете, что это не риск для SQL-инъекции. Если вы динамически интерполируете имя таблицы в запрос, вам нужно использовать идентификаторы с разделителями вокруг имени таблицы, как если бы вы использовали кавычки вокруг строкового литерала, который интерполируется из переменной.

Я не считать Я когда-либо видел эту возможность в любом диалекте SQL, который я видел, но это не область знаний.

Я бы предложил ограничить символы до AZ, az, 0-9, '.', '_' И '' - а затем использовать любые подходящие скобки для базы данных (например, [] для SQL Server, я полагаю), чтобы обернуть вокруг всего этого. Затем просто поместите его прямо в SQL.

Не совсем понятно, что вы имели в виду, говоря, что это не риск внедрения SQL-кода - вы имеете в виду, что имена будут в исходном коде и только в исходном коде? Если да, то я согласен, что это улучшает ситуацию. Возможно, вам даже не нужно делать брекетинг автоматически, если вы доверяете своим разработчикам, чтобы они не были кретинами (намеренно или нет).

Вы не можете напрямую параметризовать имя таблицы. Вы можете сделать это косвенно через sp_ExecuteSQL, но с таким же успехом можете создать (параметризованный) TSQL на C# (объединяя имя таблицы, но не другие значения) и отправить его как команду. Вы получаете ту же модель безопасности (т.е. вам нужен явный SELECT и т. д., При условии, что он не подписан и т. д.).

Также - обязательно занесите имя таблицы в белый список.

Идея о том, что он не подвержен SQL-инъекциям, ошибочна. Он может быть меньше подвержен SQL-инъекции со стороны внешних пользователей, но он по-прежнему очень подвержен SQL-инъекции. Большинство атак на базы данных происходят изнутри атакуемой компании, а не от конечных пользователей.

У сотрудников могут быть недовольства, они могут быть нечестными, они могут быть недовольны, или они могут просто быть не такими умными и думать, что можно обойти безопасность, чтобы сделать то, что ОНИ считает необходимым сделать с базой данных.

Пожалуйста, посмотрите этот пост-ответ пользователя Vimvq1987: MySqlParameter как TableName

По сути, вы сначала сверяете имя таблицы со схемой, в которой имя таблицы используется параметризованным образом. Тогда, если все в порядке, имя таблицы правильное.

Перефразируя основную идею:

    SELECT table_name
    FROM information_schema.tables
    WHERE table_schema = 'databasename'
    AND table_name = @table;

    cmd.Parameters.AddWithValue("@table",TableName);

Если это возвращает нормально с именем таблицы, продолжайте свой основной запрос ...

Я бы просто проверил select OBJECT_ID(@tablename) идея состоит в том, чтобы предотвратить инъекцию, вы знаете, что это должно быть имя таблицы, это было, если это возвращает число, тогда я бы запустил фактический запрос,