sql - ストアドプロシージャなしのパラメータ化されたクエリ？

Question

私が見たすべてのサンプルは、ストアドプロシージャを使用しています。インラインSQLを使用するClassicASPで記述された古いアプリケーションを採用しました。これは明らかな問題なので、より安全なコードに変換する必要があります。クライアントは、このアプリケーションでストアドプロシージャを使用することを望んでいないので、ストアドプロシージャなしでパラメーター化されたクエリを実行する方法はありますか？

ありがとう

Answer 1

はいあります。これらの例のいくつかを見てください。

http://www.securestate.blogspot.com/2008/09/classic-asp-sql-injection-prevention_30.html http://www.userfriendlythinking.com/Blog/BlogDetail.asp?p1=7013&p2=119&p7=3001

Answer 2

クライアントがストアド プロシージャを使用したくない理由はありますか? データベース レベルとソース コードの両方でストアド プロシージャを使用する方がはるかに簡単です。上記の 2 番目の方法を使用する場合は、インライン クエリでクエリ プランのキャッシュを取得する必要がありますが、実行内容によっては、単純な sproc を使用しても問題ないことをクライアントに納得させることができれば、単純な sproc を使用したほうがよい場合があります。他のすべてが失敗した場合、上記のリンク、特に 2 番目のリンクはかなり堅実です。