Mavzu: sql ineksiyalardan ma’lumotlar bazasini himoyalash

DECLARE @Search_Criteria NVARCHAR(MAX) = '%%' -- User searches f or "Thom", and gets no results returned.

SELECT

*

FROM Person.Person

Bo'sh qidiruv bo'lmasa ham, yuqoridagi so'rov person.Person tarkibini qaytaradi:

Ushbu stsenariyda natijalar to'plami 19,972 qatorni tashkil qiladi. Foiz belgilarining harflar harflari sifatida ko'rib chiqilishini yoki ularni umuman rad etishini ta'minlas h uchun biz ma'lumotlarni tozalashimiz kerak. Agar kerak bo'lsa, TSQL-dan satrlar ni boshqarish va foiz belgilarini harflar soniga aylantirish uchun foydalanish mumkin:

DECLARE @Search_Criteria NVARCHAR(MAX) = '%%' -- User searches f or "Thom", and gets no results returned.

SELECT @Search_Criteria = REPLACE(@Search_Criteria, '%', '[%]');

SELECT * FROM Person.Person

WHERE Person.FirstName LIKE @Search_Criteria;

Bu ideal echim emas, chunki u faqat bitta belgiga murojaat qiladi, ammo agar bu faqat belgi masalasi bo'lsa, u maqbul bo'ladi. Ushbu xatti-harakatlarning asosiy echimi - LIKE taqqoslash bilan ehtiyotkorlik bilan ishlash va kirish satri foydalanuvchiga ular uchun mo'ljallanmagan natijalarni qaytarishga imkon berishi mumkin bo'lgan o'zgartirilmagan belgilar yoki regex modifikatorlaridan o'tmasligini ta'minlash. Shunga o'xshab, agar jadval juda katta bo'lsa, biz foydalanuvchi ushbu katta jadvalga nisbatan indeks skanerini chiqara olishini istamaymiz, chunki milliardlab qatorlarni ko'rib chiqishda xavfsizlik muammosi ustida ishlash muammosi paydo bo'ladi.