Эта хранимая процедура безопасна от SQL-инъекции?

Question

Может ли кто-нибудь мне сказать, безопасна ли эта хранимая процедура от SQL-инъекции?

Я использую трехуровневую архитектуру и отправляю только необходимые параметры для вставки, обновления и удаления.

Если это не безопасно от SQL-инъекции, то как я могу сделать его безопасным?

CREATE PROCEDURE [dbo].[spStudent] 
    @parmID int = null, 
    @parmName varchar(50) = null, 
    @parmClass int = null, 
    @parmSection varchar(1) = null, 
    @parmYear varchar(15) = null, 
    @parmIsActive bit = null, 
    @parmAction varchar(50) 
AS 
BEGIN 
    begin 
     if @parmAction = 'insert' 
      insert into tblStudent 
      values (@parmName, @parmClass, @parmSection, @parmYear, @parmIsActive) 
    end 

    begin 
     if @parmAction = 'update' 
      update tblStudent 
      set StdName = @parmName, 
       ClassID = @parmClass, 
       Section = @parmSection, 
       Year = @parmYear, 
       IsActive = @parmIsActive 
      where StdID = @parmID 
    end 

    begin 
     if @parmAction = 'delete' 
      delete from tblStudent 
      where StdID = @parmID 
    end 
END 

Answer 1

Да. Это абсолютно безопасно от SQL Injection. До тех пор, пока вы настроили каждое значение, оно безопасно.

Однако, как также указано JonH, ваша хранимая процедура не делает много (если есть) смысла. Вероятно, это закончится кошмаром для обслуживания.

IMHO, вы не должны использовать хранимые процедуры вообще для простых вставок/обновлений/удалений.