使用参数创建 SQL 数据库-解网

问：

我在SQL中有一个代码，它使用以下命令创建数据库：

string query = String.Format(
            "CREATE DATABASE [{0}] ON PRIMARY (NAME = N'{0}', FILENAME = N'{1}') LOG ON (NAME = N'{0}_Log', FILENAME = N'{2}') FOR ATTACH",
            dbName, dbFile, logFile)

但是，此代码向 SQL 注入公开。

使用参数重写上述查询不起作用，我知道像 CREATE DATABASE 这样的 DDL 命令不支持参数。

在带有动态参数的代码中编写此 SQL 命令的正确方法是什么？

我宁愿不使用存储过程，因为这是我的代码基础结构的巨大变化。

C# SQL 服务器 SQL 注入

const string query = @"
DECLARE @sql NVARCHAR(MAX) = N'
CREATE DATABASE ' + QUOTENAME(@dbName) + '
ON PRIMARY (NAME = ' + QUOTENAME(@dbName) + ', FILENAME = ' + @dbFile + ')
LOG ON (NAME = ' + QUOTENAME(@dbName + '_Log') + ', FILENAME = ' + @logFile + ')
FOR ATTACH;
';

EXEC sp_executesql @sql;
";
using (var conn = new SqlConnection("YourConnectionString"))
using (var comm = new SqlCommand(query, conn))
{
    comm.Parameters.Add("@dbName", SqlDbType.NVarChar, 128).Value = dbName;
    comm.Parameters.Add("@dbFile", SqlDbType.NVarChar, 260).Value = dbFile.Replace("'", "''");
    comm.Parameters.Add("@logFile", SqlDbType.NVarChar, 260).Value = logFile.Replace("'", "''");

    conn.Open();
    comm.ExecuteNonQuery();
}

使用参数创建 SQL 数据库

Create SQL Database with parameters

评论

评论