Блог

У меня есть динамическая процедура, в которой я хочу использовать приведенное ниже как часть моего предложения Where (все остальное работает по назначению).

В настоящее время это создает следующую ошибку: Incorrect syntax near the keyword 'LIKE'

 AND         CASE WHEN '   @searchCategory   ' <> ''dateRec'' THEN
                (R.'   @searchCategory   ' LIKE ''%'   @searchTerm   '%'')
                ELSE
                (R.dateRec = '   CONVERT(VARCHAR, @searchTerm, 111)   ')
                END
  

Как здесь будет выглядеть правильное экранирование?

Я считаю, что это то, что вы ищете:

 declare @sql nvarchar(max), @searchCategory nvarchar(max), @searchTerm nvarchar(max)
set @searchCategory = 'dateRec'
set @searchTerm = 'yyy'

set @sql = 
'AND (
       ('''   @searchCategory   ''' <> ''dateRec'' AND (R.'   @searchCategory   ' LIKE ''%'   @searchTerm   '%''))
       OR
       ('''   @searchCategory   ''' = ''dateRec'' AND (R.dateRec = '''   CONVERT(VARCHAR, @searchTerm, 111)   '''))
     )'
print @sql
  

Предполагая, что содержимое @searchCategory фактически не содержит символов ' …

 SET @sql = 'AND '  
           CASE WHEN @searchCategory <> 'dateRec' THEN
             '(R.'   @searchCategory   ' LIKE ''%''   @searchTerm   ''%'')'
           ELSE
             '(R.dateRec = CONVERT(VARCHAR, @searchTerm, 111))'
           END
  

Это даст либо….

 AND (R.foobar LIKE '%'   @searchTerm   '%')
  

или…

 AND (R.dateRec = CONVERT(VARCHAR, @searchTerm, 111))
  

Это означает, что вы все равно будете передавать @searchTerm в sp_executesql качестве параметра, чтобы защитить вас от атак SQL-инъекций.

Вы НЕ хотите напрямую вставлять текст произвольной формы пользователя в свой SQL. Текст в произвольной форме должен оставаться в качестве параметра, чтобы закрыть эту дыру в безопасности.

(Я также предполагаю, что у вас есть белый список допустимых значений @searchCategory , чтобы предотвратить злоупотребление этим с помощью SQL-инъекционной атаки?.)

Редактировать :

Пример динамического sql, который поддерживает параметризацию….

 DECLARE @SQL nvarchar(500);

SET @SQLString = N'SELECT * FROM table WHERE '   @param1   ' = @param;';

EXECUTE sp_executesql
   @SQL,
   '@param NVARCHAR(500)',
   @param2
  

Используя этот метод, вам нужно проверить, что @param1 действительно является допустимым именем поля, например, используя белый список, но вам не нужно проверять @param2. Это связано с тем, что @param2 передается sp_executesql как сам параметр. Это похоже на динамическое создание хранимой процедуры с параметрами, а не на встраивание всех ваших значений в строку sql, что делает вас открытыми для серьезных атак sql-инъекций.

Редактировать :

Это не тот случай, когда оператор встраивается в LIKE CASE оператор. Что здесь делается, так это создание строки, которая создает строковый литерал LIKE , с помощью оператора CASE .

Это почти то же самое, что и это…

 SET @sql = 'AND '  
           CASE WHEN @searchCategory <> 'dateRec' THEN
             'A string with the word'   ' LIKE '   'in it'
           ELSE
             'A different string without that word in it'
           END