动态SQL、参数化查询

文章/答案/技术大牛

发布

1回答

ASP.NET MVC:简单的SQL注入安全性

security、model-view-controller、asp.net-mvc-3、sql-injection

我正在开发一个ASP.NET MVC 3应用程序，需要一种绕过something的方法，一些简单的东西将是有用的。我已经跟踪了微软的文章，但它似乎不符合我的代码和结构。

浏览 2提问于2011-04-28得票数 3

2回答

在什么情况下，参数化查询不会阻止SQL注入？

sql-injection

虽然这种情况并不常见，但我知道，如果要调用使用参数来构造和执行动态SQL的存储过程，则使用参数化查询仍然可以使用SQL注入。我很好奇，即使您使用参数化查询，是否还有其他可能使用SQL注入的边缘场景？动态SQL是唯一的陷阱吗？

浏览 0提问于2014-11-19得票数 4

回答已采纳

1回答

将任何对象JSON从数据库传递到客户端而又不会留下SQL注入机会的最快方法是什么？

asp.net-mvc、web-services、json、model-view-controller、json.net

将JSON从数据库传输到客户端而又不会留下SQL注入机会的最快方法是什么？我正在考虑分页，插入，更新，删除，排序，等等。针对我的架构中的任何表。

浏览 2提问于2011-04-27得票数 0

回答已采纳

1回答

我想知道如何在python中安全地参数化动态mysql查询。所谓动态，我的意思是它会根据if语句的计算方式而变化。我知道如何在python中通过使用逗号而不是百分号来参数化mysql查询，如下所示。c.execute("SELECT * FROM foo WHERE bar = %s AND baz = %s", (param1, param2)) 下面是一个“动态查询”的例子。if added_

浏览 12提问于2017-02-11得票数 0

回答已采纳

1回答

将pyodbc插入查询SQL server的格式设置

python、sql-server、pyodbc

在过去的一周里，我遇到了一个特别的问题。对于这种特定的情况，我在网上找不到任何东西(或者至少我没有找到正确的东西)，但这肯定是有人以前做过的事情。我在每个周期生成一个新的表( ID/key列递增，数据增加3列)，因此表名更改，然后放入一些数据(所有整数)。导致错误的行是：我得到的错误是：

浏览 2提问于2019-11-06得票数 0

回答已采纳

1回答

是否可以使用查询参数来填充IN关键字

c#、.net、sql-server-2005、ado.net

我想使用如下查询：我使用ADO.NET来查询数据库，所以我希望使用参数化查询而不是动态sql，这显然是可行的，但我希望保留参数化查询的优点(安全性、转义等)。是否可以使用sql参数填充IN子句的集合？

浏览 2提问于2009-02-26得票数 4

回答已采纳

5回答

如何在ADO.NET中将'DEFAULT‘指定为SQL参数值？

sql、tsql、ado.net、parameterized-query

我有一个针对SQL2005的参数化SQL查询，它是在代码中动态创建的，因此我使用ADO.NET SqlParameter类向SqlCommand添加sql参数。在前面提到的SQL中，我从一个表值函数中选择了有默认值的表值函数。我希望我的动态sql有时为这些默认参数指定一个值，而另一些时候，我希望指定应该使用表值函数中定义的SQL DEFAULT。为了保持代码整洁，

浏览 0提问于2010-06-03得票数 17

回答已采纳

10回答

动态sql存储过程对于很多记录来说是一件坏事吗？

sql、sql-server、tsql、stored-procedures

我有一个包含近800,000条记录的表，目前我正在使用动态sql在后端生成查询。前端是一个搜索页，它接受大约20个参数，并根据是否选择了一个参数，添加一个“and ...”添加到基本查询中。我很好奇动态sql是否是正确的方法(看起来不是，因为它运行很慢)。我正在考虑用我所有的数据创建一个非规范化的表。这是一个好主意，还是我应该一起构建查询，而不是使用动态sql逐段构建它。最后，有没

浏览 1提问于2008-11-25得票数 7

回答已采纳

1回答

sql-server、parameter-passing、dynamic-sql、alwayson

我已经编写了一个查询来获取SQL AlwaysON运行状况信息。剩下的唯一要做的就是在最后添加一个where子句来过滤AvailabilityGroupName和DatabaseName。但是，当我在开始时将查询存储在nvarchar变量@sql中，并在稍后执行存储在该变量中的查询时，我收到错误消息“在关键字‘EXEC’附近有不正确的语法”。我之所以要将查询参数化，是因为一个可用性组可以包含多个数据库。参数化输入将来

浏览 9提问于2017-08-05得票数 0

2回答

支持云大查询的SQL过程

google-cloud-platform、google-bigquery、google-cloud-sql

我们正在尝试探索解决方案，允许我们创建具有多个joins和复杂SQL的动态SQL，这些SQL涉及在云BigQuery上运行的参数。我在网上读到过联邦查询允许从Cloud Big Query中访问Cloud SQL数据集，但是否可以让它以另一种方式运行，即在Cloud SQL中使用大型查询数据集，以便可以使用过程化SQL的原生选项。在很大程度上，这些过程化SQL的目

浏览 2提问于2019-09-30得票数 0

2回答

参数化动态sql查询

c#、sql、sql-server

要从表中获取记录，我使用以下查询：StringBuilder sqlBuilder{ }正如您可能已经注意到的，我的查

浏览 0提问于2013-12-03得票数 6

回答已采纳

3回答

在SQL* Server2005中编写动态SQL查询*

sql-server-2005、tsql、dynamic-sql

对于传递的参数值可能为空的sql server 2005，编写动态参数化查询的最佳方法是什么？

浏览 0提问于2010-08-19得票数 0

回答已采纳

1回答

如何在sql过程中使用表名的参数

sql、sql-server、stored-procedures

.@ tablename“的表，而我真正想要的是它创建我在exec过程中作为参数作为表名传递的值。我做错了什么。下面是我的更新过程脚本。也许我可以修改一下，这样它就可以将值创建为表名。

浏览 0提问于2013-10-31得票数 2

1回答

COBOL/DB2SQL注入

db2、sql-injection、cobol

我正在调查一些COBOL代码中可能存在的SQL注入错误。代码使用主机变量将语句提交到DB2数据库。例如：谁能告诉我这个方法是否容易受到SQLi的攻击，或者COBOL/DB2

浏览 8提问于2014-03-03得票数 3

9回答

我们认为什么是动态sql语句？

sql、dynamic-sql

a)我们认为什么是动态sql语句？谢谢

浏览 3提问于2009-12-11得票数 3

回答已采纳

1回答

在PostgreSQL 9.4中没有动态SQL的执行计划缓存？

sql、postgresql、query-optimization、dynamic-sql、query-performance

我们有一个关键的SP来构建一个动态查询并执行它，最初我没有正确地构建动态SQL (动态查询没有参数化)，因为每次这个SP被击中时，它花费大约1500 is来重新编译动态SQL (正在构建的查询相当大)和~80 is来执行它(查询很大，但并不非常昂贵)。在我重新编写代码并将其参数化之后，执行计划变得非常稳定，现在SP通常只需要~80 in，因此这样

浏览 5提问于2015-02-27得票数 1

2回答

参数化动态表的SQL查询

sql、sql-server、tsql

我管理的一个产品团队有大量使用动态sql查询的查询，这些查询使用连接注入表。虽然它有杀菌功能，但我正在尝试完全删除动态sql。SELECT * FROM (SELECT DISTINCT Table_Name FROM INFORMATION_SCHEMA.Tables WHERE Table_Name

浏览 0提问于2017-11-16得票数 0

1回答

从SP中获取列名作为参数，并在过程中为该列设置一个值

sql、sql-server、stored-procedures

ALTER proc [dbo].[sp_dosomethingwithStudentAttn] @AttnList as dbo.StudentAttendanceList readonly,@DeptId int,@SemId int,@SecId int,@DayId int,@currentDate date,@period nvarchar(5)declare @IfStudentDayWiseAttnExists as bit, @insertQuery as varchar(max

浏览 2提问于2015-04-25得票数 1

回答已采纳

1回答

此SQL* pivot查询是否可以参数化以避免SQL注入？*

sql-server、tsql、pivot、sql-injection

下面是查询：declare @query nvarchar(max) select @cols = STUFF((SELECT distinct

浏览 10提问于2018-01-11得票数 1

回答已采纳

3回答

SQL参数化与使用string.format的比较

c#、sql-server、sql-injection、sql-parametrized-query

在防范SQL注入方面，对于更简单的查询，下列策略之一是否比其他策略更有效？：使用(SqlCommand命令=新SqlCommand(@"SELECT * FROM @table"，connection)) { command.Parameters.AddWithValue

浏览 1提问于2019-02-22得票数 0

回答已采纳

点击加载更多

ASP.NET MVC:简单的SQL注入安全性

在什么情况下，参数化查询不会阻止SQL注入？

将任何对象JSON从数据库传递到客户端而又不会留下SQL注入机会的最快方法是什么？

如何安全地参数化动态python mysql查询？

将pyodbc插入查询SQL server的格式设置

是否可以使用查询参数来填充IN关键字

如何在ADO.NET中将'DEFAULT‘指定为SQL参数值？

动态sql存储过程对于很多记录来说是一件坏事吗？