如此高效通用的分页存储过程是带有sql注入漏洞的

《如此高效通用的分页存储过程是带有sql注入漏洞的》由会员上传分享，免费在线阅读，更多相关内容在工程资料-天天文库。

1、如此高效通用的分页存储过程是带有sql注入漏洞的>>教育资源库　　在google中搜索分页存储过程会出来好多结果，是大家常用的分页存储过程，今天我却要说它是有漏洞的，而且漏洞无法通过修改存储过程进行补救，如果你觉得我错了，请读下去也许你会改变看法。　　通常大家都会认为存储过程可以避免sql注入的漏洞，这适用于一般的存储过程，而对于通用分页存储过程是不适合的，请看下面的代码和分析！　　一般的通用的分页存储过程代码如下：　　通用分页存储过程CREATEPROCEDUREpaginationtblNamevarchar(

2、255),--表名strGetFieldsvarchar(1000)='*',--需要返回的列fldNamevarchar(255)='',--排序的字段名PageSizeint=10,--页尺寸PageIndexint=1,--页码doCountbit=0,--返回记录总数,非0值则返回OrderTypebit=0,--设置排序类型,非0值则降序str['+tblName+']['+tblName+']'end--以上代码的意思是如果doCo

3、unt传递过来的不是0，就执行总数统计。以下的所有代码都是doCount为0的情况　　elsebeginifOrderType!=0beginsetstrTmp='<(selectmin'setstrOrder='orderby['+fldName+']desc'--如果OrderType不是0，就执行降序，这句很重要！end　　elsebeginsetstrTmp='>(selectmax'setstrOrder='orderby

4、['+fldName+']asc'endifPageIndex=1beginifstr['+tblName+']['+tblName+']'+strOrder--如果是第一页就执行以上代码，这样会加快执行速度end　　elsebegin--以下代码赋予了strSQL以真正执行的SQL代码setstrSQL='selecttop'+str(PageSize)+''+strGetFields+'from['+

5、tblName+']e+']'+strTmp+'(['+fldName+'])from(selecttop'+str((PageIndex-1)*PageSize)+'['+fldName+']from['+tblName+']'+strOrder+')astblTmp)'+strOrderifstr['+tblName+']e+']'+strTmp+'([

6、'+fldName+'])from(selecttop'+str((PageIndex-1)*PageSize)+'['+fldName+']from['+tblName+']p)and'+strWhere+''+strOrderendendexec(strSQL)GO　　大家可以看到上面的12下一页>>>>这篇文章来自..，。存储过程中是通过一些步骤最终拼接成一个sql字符串，然后通过exec执行这个串得到分页的结果。　　我们

7、假定要做一个这样的查询，通过用户名UserName模糊查询用户，为了叙述方便，便于理解我们只考虑取第一页的情况，取出存储过程中取第一页的拼串行如下：setstrSQL='SELECTTOP'+str(PageSize)+''+strGetFields+'from['+tblName+']　e为UserAccount,strOrder为ORDER　BY　IDDESC那么上面一行可以写成如下形式：　　setstrSQL='SELECTTOP20*　from

8、[UserAccount]　sdog　　我们用SqlParameter传递参数给分页存储过程strSSQLServer2000的数据库，而非使用SQL2005的新特性分页。　　文章：yukaizhao/上一页12>>>>这篇文章来自..，。