database - 对于主要数据集使用存储过程的 SSRS 报告，我是否需要担心 SQL 注入(inject)？

Question

我有一份报告，我想添加一个单值文本参数(允许空值)。该参数将传递给存储过程。如果此参数为空，SP 将忽略它。但是，如果参数不为空，那么我希望 SP 解析它并使用其中包含的一些值。

用户将以 whse=Blah&whse=Blah2&item=item1&lot=lotA&date:IsNull=True&um=&client=client2 形式传递值。您可能会猜到，这些是报表的参数名称和值。我的想法是让用户在这个表单中传入一些他们想要的参数值。

但是，我担心有人会输入一些恶意文本来试图破坏我的数据库。鉴于我使用的是 SQL Server 2008 R2 和 SyteLine 8，我是否需要为此担心？或者是否已经为此制定了保护措施，我不必担心？

Answer 1

很高兴您能考虑周全。您可以通过多种方式设计报表，使其更容易受到 SQL 注入(inject)的攻击。例如，如果您使用动态 SQL 并将参数值直接附加到查询中。

但是，使用内置参数功能，这不是问题。当您将值传递给存储过程时，这些值被参数化。如果该值出于任何原因无效，它甚至不会尝试运行查询文本。换句话说，您不必考虑人们输入无效字符串的所有不同方式。