Question

我有一个包含有效SQL表达式的字符串列表我只需执行那些不修改数据库的文件最好的方法是什么？做一些像：

if(sqlQuery.contains("DELETE")){  
  //don't execute this
}

似乎是一个糟糕的黑客

更新
我会更具体地说明这一点我已经有一个允许的SQL个查询列表。我想确保只执行这些。
什么是匹配这些的最佳方式？

Answer 1

最简单，最好（最全面）的方法是创建一个只读用户，并且只与该用户连接到数据库。在SQLServer中，最简单的方法是创建用户并将其添加到内置的“db_datareader”角色。这只会允许SELECT。

你不仅要担心DELETE，INSERT或UPDATE。您还必须小心调用任何存储过程，所以为了安全起见，您还要删除执行权限，ALTER权限，GRANT权限等...

编辑：只需执行此操作......

CREATE LOGIN [user] WITH PASSWORD='password', DEFAULT_DATABASE=[your_db], CHECK_POLICY=OFF
GO
CREATE USER [user] FOR LOGIN [user]
EXEC sp_addrolemember N'db_datareader', N'your_db'
GO

Answer 2

DELETE不是唯一可能修改数据库的SQL指令; INSERT肯定会这样做，UPDATE可能（取决于您的确切查询）。所以只是分析字符串可能是一个很难的方法。

只要性能不是真正的问题，您可以启动事务，逐个运行指令，检查每个事件的受影响行数，最后回滚事务。之后，您只运行那些影响0行的语句。

此外，请检查您的数据库文档：某些RDBMS-es（如Oracle）不支持回滚DDL语句，如ALTER TABLE，DROP TABLE等...

Answer 3

我认为通过简单地检查给定SQL的内容，有一种防止记录更改的防弹方法。例如，您可能有一个字段，其值为“update”，而某些用户正在尝试查询包含此值的所有行，但SQL不会被执行，因为它包含“列入黑名单”的字符串。我想唯一安全的方法是与用户一起执行SQL，而用户根本无权更改记录。

确定sql查询是否修改数据库

3 个答案: