Winforms 프로젝트에서 SQL 삽입에 대해 걱정할 필요가 있습니까?

Question

SO와 다른 곳에서는 매개 변수화 된 입력 및 저장 프로 시저를 사용하는 것이 더 낫다는 것을 정중히 지적하지 않으면 샘플 코드에 긴 연결된 SQL 명령을 게시하는 것이 거의 불가능합니다.

최근의 예를 here.

그러나 Winforms 프로젝트에서 SQL 삽입에 대해 걱정할 필요가 있습니까?

Answer 1

안전 데이터베이스 코드를 작성하는 몇 가지 이유 하지이 있습니까? 나는 그렇게 생각하지 않는다.

모두 안전하게 SQL을 실행하는 습관을해야한다, 그래서 당신은 심지어 당신이 공공 응용 프로그램을 작성할 때 그것에 대해 생각 할 필요가 없습니다.

또한 개인으로 의도 많은 코드가 공개적으로 나중에 달 또는 몇 년 접근되고 끝날 것이라는 점을 고려한다. 예를 들어 "이 인벤토리보고 용 인트라넷 앱은 유용합니다. 비즈니스 파트너가 공개 웹 사이트에 업로드하여 사용하지 않는 이유는 무엇입니까?"

• SQL 쿼리에서 유효성이 확인되지 않은 데이터를 분리하려면 매개 변수를 사용하십시오.
• 당신은 SQL 쿼리에 검증 데이터를 보간 할 수 있습니다. 즉, 변수가 인 경우에만이 정수가 될 수 있는지 테스트하는 코드가 있으면 정수로 처리하는 것이 안전합니다.
• 쿼리의 다른 동적 부분 (테이블 이름, 열 이름, 식 등)의 경우 쿼리 매개 변수를 사용할 수 없습니다. 그러나 사용자 입력을 하드 코딩 된 문자열에 매핑 할 수 있습니다. 예 : 사용자가 1을 입력 한 경우 date 열을 기준으로 정렬합니다. 사용자가 2을 입력 한 경우 status 열을 기준으로 정렬하십시오.
• "그냥 저장 프로 시저 사용!"이라고 말하는 프로그래머는 무시하십시오. 마치 SQL 인젝션에 대한 방어와 관련이 있습니다. 그렇지 않습니다. 실제 생활에서

Answer 2

네, 다른 프로젝트에서 보았던 모든 이유 때문입니다.

귀하의 사용자 기반은 더 작을 수 있지만 동일한 위험이 있습니다.

Answer 3

에픽 이야기 : 중서부 회사의 빅 보스는 프로젝트 진행 상황을 살펴보고했다. 그 일이 어떻게 일어 났는지는 확실치 않지만, 전에 보지 못했던 고객을 위해 일정 계획 사무실에서 새로운 주문 세트가 내려졌습니다. 그리고 보스가 모습을 드러 낼 무렵에는 제작에 들어갔다. 그의 성은 O'Shaughnessy였습니다.

SQL 인젝션을 피하는 것 이상으로 매개 변수화 된 입력을 사용하는 것이 좋습니다. 일반적으로 - - 데이터베이스와 완전히 다른 관계가 나는 정중하게 그 대답 소유자와 동의