Хранимая процедура SQL Server: динамически удалять запись

Question

Мне нужно удалить (прочитать/обновить) некоторые значения в некоторых таблицах и хотеть использовать хранимую процедуру для уменьшения проблем безопасности.

Поскольку таблиц много, а записи еще больше, и нет смысла писать хранимую процедуру для каждой комбинации, и, поскольку у всех есть такая потребность, я думал, что было бы легко найти хранимую процедуру для этого. но много гуглинга я не нашел простого и короткого ответа, поэтому я попытался создать свою собственную хранимую процедуру. Но я боюсь, что это может иметь некоторые проблемы с безопасностью: в основном, когда я объявляю @Table как nvarchar(30) .. Я попытался объявить как ТАБЛИЦУ, но он возвращает ошибку.

Может подсказать, что не приемлемо и предложить решение?

Благодаря

Здесь хранимая процедура для удаления .. но для других действий может быть аналогичен:

CREATE PROCEDURE dbo.spDeleteRecord 
(
    @UID  nvarchar(20) = NOT NULL, 
    @PWD  nvarchar(30) = NOT NULL, 
    @Table  sysname, 
    @WhereField sysname, 
    @WhereValue nvarchar(150) = NOT NULL 
) 
AS 
    SET NOCOUNT ON; 

    DECLARE @S nvarchar(max) = '', 
      @P nvarchar(max) = '' 

    SET @S = 'DELETE t 
       from dbo.'+quotename(@Table)+' t 
       join dbo.subUsers su on t.UID = su.UID 
       where ' + quotename(@WhereField) + ' = @_WhereValue 
       and su.SUID = @_UID 
       and su.PWD = @_PWD'  

    SET @P = '@_UID nvarchar(50), 
      @_PWD nvarchar(50), 
      @_Table sysname, 
      @_WhereField sysname, 
      @_WhereValue nvarchar(150)' 

    --PRINT @S 
    EXEC sp_executesql @S, @P, @UID, @PWD, @Table, @WhereField, @WhereValue 

    SET NOCOUNT OFF 

Спасибо за чтение Джо

Answer 1

Вы должны были бы сделать это следующим образом:

SET @S = 'DELETE t 
      from dbo.'+quotename(@Table)+' t 
      join dbo.subUsers su on t.UID = su.UID 
      where ' + quotename(@WhereField) + ' = @_WhereValue 
      and su.SUID = @_UID 
      and su.PWD = @_PWD'  

SET @P = '@_UID nvarchar(50), 
     @_PWD nvarchar(50), 
     @_WhereValue nvarchar(150)' 

--PRINT @S 
EXEC sp_executesql @S, @P, @_WhereValue = @WhereValue, @_UID = @UID, @_PWD = @PWD 

В принципе, список параметров ca n относятся только к параметрам, которые фактически встроены в строку SQL.

Также обратите внимание, что @Table и @WhereField верны как тип данных sysname. Я также, вероятно, ограничил бы @UID, @PWD и @WhereValue до NOT NULL, потому что я ненавижу необработанные нули.

Однако вам действительно нужно рассмотреть, хотите ли вы это сделать. Для меня это похоже на то, чтобы оставить заряженный пистолет. Что происходит, когда вы вызываете это с таблицей, которая имеет поле UID, которое совпадает с значениями в таблице dbo.subUsers, даже если там не существует никакого отношения? Я не вижу существенного преимущества этого метода, поскольку просто запускает параметризованный запрос из вашего приложения, а тот факт, что запрос изменяется между казнями, означает, что вы можете столкнуться с проблемами с sniffing параметров, чтобы в итоге вы могли выполнить субоптимальные планы выполнения.