🚀 go-pugleaf

W wiadomości: dlskpf$do8$1@news.onet.pl,
Robert Winkler <winkel@NOSPAMpoczta.fm> napisał(a):
> Jak Selvin słusznie zauważył zastosowanie procedur gwarantuje Ci że
> nikt nie podstawi Ci w parametrze żadnego szkodliwego kodu.
> Warunkiem do tego jest oczywiście że po stronie serwera w procedurze
> składowanej
> nie będziesz łączył przekazywanych parametrów w jeden ciąg znaków
> i nie będziesz go następnie wywoływał za pomocą sp_executesql

Witam!

Właśnie gdzie wyczytałem, że sp_executesql w MS SQL chroni przed tym problem 
bo pozwala na wykorzystanie parametrów nawet w przypadku dynamicznego SQL po 
stronie serwera. Co innego EXECUTE. Natomiast jest to mniej bezpieczne w 
stosunku do statycznego SQL-a bo wymaga prawa nie tylko do samej procedury 
składowanej.

Owe artykuły techniczne znalazłem na stronie:
http://www.sommarskog.se

Są tam podane przykłady, w których dynamiczny SQL jest dobrym pomysłem ze 
względu na wydajność. Chodzi o dynamiczne wyszukiwanie danych --- użytkownik 
podaje pola, po których następuje wyszukiwanie. Można zbudować statycznego 
SQL-a z taką klauzulą WHERE:
(Nazwa = @nazwa OR @nazwa IS NULL)

Ale jak twierdzi autor oznacza to brak użycia indeksów. O ile pamiętam 
ponieważ plan zapytania jest układany w czasie kompilacji procedury 
składowanej kiedy wartości parametrów nie są jeszcze znane. Być może 2005 
zrobić coś w tym kierunku.

-- 
Pozdrawiam,
Marek Janaszewski
[ j_marek(małpa)gazeta(kropka)pl ]
[ == USUN_TO. z adresu == ]