c# - SQL サーバー自体からの SQL インジェクションを回避する

Question

私はクエリビルダーと言うアプリケーションを持っています。これは、ユーザーからSQLクエリを入力して、テーブルからいくつかのデータを選択します

私はSQLサーバーでこのクエリを実行しています

DQl コマンド以外のコマンドを使用するユーザーを停止したい

SQLサーバー自体で行うことは可能ですか

そのDQLコマンドかどうかを判断できるSQLサーバーにコマンドはありますか?その後、私はそれを制限することができます

ありがとう

Answer 1

そのSQLサーバークエリ

それをロックダウンするのは非常に困難です。SQL サーバーのパーミッションを使用して何らかの方法で実行することはできますが、非常に悪いことを実行するのは簡単です(たとえば、サーバーを効果的にオフラインにするために、大きなテーブルのクロス結合をそれほど多く行う必要はありません。シリアル化可能なトランザクションを開き、いくつかのテーブルから選択し、トランザクションを閉じない可能性があります)。

ユーザーに sql を書かせないことを強くお勧めします。必要なことを行うための他のツールを提供します。

または、別のサーバーでクエリを実行します。理想的には、データの安全なバージョン(つまり、PII なし) をプッシュした場所です。ここでは、重要なものに接続されていないため、サーバーを支配していても問題ありません。SEDEに少し似ています。