mySQL:存储过程比查询更安全？

Question

我有一个使用 mySQL 数据库的网站，我想要执行常见任务，例如添加用户、修改他们的信息等。我可以通过常规查询完美地完成这些任务。我使用准备好的语句来提高安全性。我应该使用存储过程来提高安全性还是结果会是相同的？我虽然可能使用存储过程，但我可以限制可能的攻击者与真实查询的直接交互。我错了吗？

Answer 1

我想这取决于您使用的语言。在大多数语言中，将准备好的语句与包含要执行的所有 SQL 的 sql 字符串一起使用，或者将准备好的语句与执行存储过程的 sql 字符串一起使用，效果大致相同。语言应该考虑准备好的语句的安全性。例如，C# 将验证输入，因此 SQL 注入(inject)漏洞会大大减少，除非您准备好的语句写得非常糟糕，以至于向其提供错误的(但预期的，即 1 与 0)变量将极大地改变结果集。不过，其他语言可能无法提供相同级别的验证，因此可能会有优势，具体取决于您的存储过程的外观。

使用存储过程的可维护性更好，但假设程序一开始就设计得当，那么它不会在很多情况下提供任何类型的安全级别更改。我能想到的唯一例子是一个存储过程，它从用户输入中获取原始 sql 字符串，然后针对数据库执行该 sql。这实际上比使用准备好的语句更不安全，除非您竭尽全力验证可接受的输入，在这种情况下，您最好首先有充分的理由使用这样的存储过程。

基本上，我所说的归结为这样一个事实:您将需要阅读您的语言有关准备好的语句的文档，并确定使用准备好的语句可能存在哪些漏洞(如果有)，以及是否存在在您的特定场景中，通过切换到调用存储过程的预准备语句而不是直接执行 sql 查询，可以消除这些问题。