Guruh talabasi Raxmonov Shahzod 6-Laboratoriya ishi

DECLARE @CMD NVARCHAR(MAX);

SELECT @CMD = 'SELECT * FROM Person.Person

WHERE LastName = @search_criteria';

PRINT @CMD;

EXEC sp_executesql @CMD, N'@search_criteria NVARCHAR(1000)', @se arch_criteria;

E'tibor bering, @search_criteria parametri dinamik SQL ichida qo'shimcha parametrlar ro'yxati sifatida aniqlanadi. Parametrlarni bosqichma-bosqich o'tkazib, biz TSQL-ni qurishdan, shuningdek, apostroflar va boshqa keng tarqalgan SQL in'ektsiya teshiklarining qo'lda tekshirilishini talab qilamiz.

3.Dinamik SQL-ni bajarishda sp_executesql-dan foydalaning. Bu EXEC () ga nisbatan ancha moslashuvchanlikni ta'minlaydigan ko'p qirrali protsedura. Bundan tashqari, bu xavfsizroq va o'rnatilgan parametrlashtirishga imkon beradi. Yodda tutingki, dinamik SQL bayonoti va parametrlar ro'yxati sp_executesql ga o'tishdan oldin erkin sozlanishi mumkin.

4.Agar kerak bo'lsa, o'zgaruvchan nomaqbul belgilarni tozalash uchun QUOTENAME-dan foydalaning. Masalan, quyidagi TSQL satrni apostrof bilan almashtirish urinishining o'rnini haqiqiy satr bilan almashtiradi:

DECLARE @form_input VARCHAR(250) = '''SELECT * FROM dbo.all_of_ my_passwords'; SELECT @form_input;