sp_rename语句可以与参数一起使用吗？ [英] Can a sp_rename statement be used with parameters?

问题描述

我已经创建了一个sp_rename列语句，但因为我使用的是输入框，所以我不想让有人可以使用sql注入。



这是我的代码：

 Private Sub Button3_Click（sender As Object ，e As EventArgs）处理Button3.Click 
 
 Dim ipb As String 
 ipb = InputBox（新列名）
 
尝试
 
 Dim sqlcon As New SqlConnection（sqlconnectionstring）
 
 sqlcon.Open（）
 Dim cmd As SqlClient.SqlCommand 
 
 Dim sql As String =EXEC sp_rename+'+ Form4.ListView1.SelectedItems.Item（0）.Text.ToString +。 + ListView1.SelectedItems.Item（0）.Text.ToString +'+，'+ ipb.ToString +'，+'COLUMN'
 cmd = New SqlClient.SqlCommand（sql， sqlcon）
 
 MessageBox.Show（sql.ToString）
 
 cmd.ExecuteNonQuery（）
 sqlcon.Close（）
 
 Catch ex作为例外
 
结束尝试
 
结束子
 

< b>我尝试了什么：



尝试使用cmd.parameters.addwithvalue（@columnname，ipd.tostring），但我认为它不起作用，因为它有什么参考？

解决方案

是的，他们可以。你所要做的就是匹配参数名称。

如果你有这个存储过程：

 创建  PROC  [dbo] .Sample 
  @ Name   varchar （ 100 ）
  AS  
  BEGIN  
  SELECT  *  FROM  myTable  WHERE  @ Name = Username; 
  END  

然后你可以这样称呼：

 using（SqlConnection con = new SqlConnection（strConnect））
 {
 con.Open（）; 
 using（SqlCommand com = new SqlCommand（Sample，con））
 {
 com.CommandType = CommandType.StoredProcedure; 
 com.Parameters.AddWithValue（@ Name，myNameTextBox.Text）; 
使用（SqlDataReader read = com.ExecuteReader（））
 {
 while（read.Read（））
 {
 ... 
} 
} 
} 
} 
 

不是您问题的解决方案，而是您遇到的另一个问题。

永远不要通过连接字符串来构建SQL查询。迟早，您将使用用户输入来执行此操作，这会打开一个名为SQL注入的漏洞，这对您的数据库很容易并且容易出错。

名称中的单引号你的程序崩溃。如果用户输入像Brian O'Conner这样的名称可能会使您的应用程序崩溃，那么这是一个SQL注入漏洞，崩溃是最少的问题，恶意用户输入，并且它被提升为具有所有凭据的SQL命令。

SQL注入 - 维基百科 [ ^ ]

SQL注入 [ ^ ]

I have made a sp_rename column statement, but because I am using an input box I prefer not to have it where someone could use an sql injection.

here is my code:

Private Sub Button3_Click(sender As Object, e As EventArgs) Handles Button3.Click

       Dim ipb As String
       ipb = InputBox("New column name")

       Try

           Dim sqlcon As New SqlConnection("sqlconnectionstring")

           sqlcon.Open()
           Dim cmd As SqlClient.SqlCommand

           Dim sql As String = "EXEC sp_rename " + "'" + Form4.ListView1.SelectedItems.Item(0).Text.ToString + "." + ListView1.SelectedItems.Item(0).Text.ToString + "'" + ", '" + ipb.ToString + "', " + "'COLUMN'"
           cmd = New SqlClient.SqlCommand(sql, sqlcon)

           MessageBox.Show(sql.ToString)

           cmd.ExecuteNonQuery()
           sqlcon.Close()

       Catch ex As Exception

       End Try

   End Sub

What I have tried:

tried using cmd.parameters.addwithvalue(@columnname, ipd.tostring), but I assume its not working because it dosent have a reference?

解决方案

Yes, they can. All you have to do is match up the parameter names.
If you have this stored procedure:

CREATE PROC [dbo].Sample
@Name varchar(100)
AS
BEGIN
SELECT * FROM myTable WHERE @Name=Username;
END

Then you can call it like this:

using (SqlConnection con = new SqlConnection(strConnect))
    {
    con.Open();
    using (SqlCommand com = new SqlCommand("Sample", con))
        {
        com.CommandType = CommandType.StoredProcedure;
        com.Parameters.AddWithValue("@Name", myNameTextBox.Text);
        using (SqlDataReader read = com.ExecuteReader())
            {
            while (read.Read())
                {
                ...
                }
            }
        }
    }

Not a solution to your question, but another problem you have.
Never build an SQL query by concatenating strings. Sooner or later, you will do it with user inputs, and this opens door to a vulnerability named "SQL injection", it is dangerous for your database and error prone.
A single quote in a name and your program crash. If a user input a name like "Brian O'Conner" can crash your app, it is an SQL injection vulnerability, and the crash is the least of the problems, a malicious user input and it is promoted to SQL commands with all credentials.
SQL injection - Wikipedia[^]
SQL Injection[^]

这篇关于sp_rename语句可以与参数一起使用吗？的文章就介绍到这了，希望我们推荐的答案对大家有所帮助，也希望大家多多支持IT屋！