添加数据的SQL权限和如何验证?[英] SQL Permissions to Add data and how to verify?

本文是小编为大家收集整理的关于添加数据的SQL权限和如何验证?的处理方法,想解了添加数据的SQL权限和如何验证?的问题怎么解决?添加数据的SQL权限和如何验证?问题的解决办法?那么可以参考本文帮助大家快速定位并解决问题。

问题描述

我正在寻找一种好方法来维护谁可以在 C# 应用程序和 SQL Server 2005 中向数据库添加数据的权限.

我需要解释清楚.让我们举个例子:

我有两个用户 Bob 和 Jim,他们都被添加到 SQL 权限,所以他们对数据库有写访问权.现在所有访问都基于域用户帐户.所有其他用户只有读取权限.

现在我有几个表,例如:

  • 用户
  • 用户权限
  • 书籍
  • 图书出版商

所以 UserPermissions 包含用户和图书出版商的列表.例如:Bob 有权为 MS Press 添加书籍,Jim 有权为 O'Reilly 添加书籍.

现在我需要验证这些信息并限制他们可以添加的内容.

所以说 Jim 从命令行使用我的应用程序,他写了如下内容:

<块引用>

Addbook.exe "C# 3.0 in a Nutshell" "O'Reilly"

该工具应该继续将书添加到书表中.

现在说 Bob 尝试相同的命令,工具应该出错,因为他没有权限通过 O'Reilly 添加书籍.

现在我需要知道如何做几件事.

  • 首先验证用户是否具有 SQL Server 的写入权限
  • 验证用户是否有写入权限以添加特定发布者的books
  • 我还需要在工具实际尝试添加数据之前验证上述是否属实,即在工具继续之前我需要先验证反馈

现在我不是 100% 担心用户注入恶意数据,虽然阻止这种情况会很好,但它是一个内部工具,我想我可以信任用户......(可能)

我不知道从哪里开始,我的 SQL 技能非常缺乏.

Akk,最后一件事,我不想使用存储过程添加数据.

推荐答案

好,我们来分解一下:

验证用户是否可以写入表(如果为真则返回 1,否则返回 0):

SELECT isnull(has_perms_by_name('MyDb.dbo.MyTable', 'OBJECT', 'INSERT'), 0)

验证用户是否可以编写该发布者:

SELECT count(*) FROM UserPermissions WHERE
UserName = 'username' AND Publisher = 'publisher'

现在,这是 SQL,而不是实际的 C#.在 C# 中获取值:

SqlConnection SqlConn = new SqlConnection("connection_string_goes_here");
SqlCommand SqlCmd = new SqlCommand();

SqlConn.Open();
SqlCmd.Connection = SqlConn;
SqlCmd.CommandText = "SELECT isnull(has_perms_by_name('MyDb.dbo.MyTable', " +
    "'OBJECT', 'INSERT'), 0)"

if (SqlCmd.ExecuteScalar())
{
   SqlCmd.CommandText =
       "SELECT count(*) FROM UserPermissions WHERE " +
       "Username = " + System.Environment.UserDomainName + "\" + 
           System.Environment.UserName + " " +
       AND Publisher = @Publisher";
   SqlCmd.Parameters.Add("@Publisher", SqlDbType.NVarChar);
   SqlCmd.Parameters("@Publisher").Value = PublisherInput;

   if(SqlCmd.ExecuteScalar())
   {
       SqlCmd.Parameters.Clear();
       SqlCmd.CommandText = "INSERT INTO Books (Title, Publisher) VALUES " +
                            "(@Title, @Publisher)";
       SqlCmd.Parameters.Add("@Title", SqlDbType.NVarChar);
       SqlCmd.Parameters.Add("@Publisher", SqlDbType.NVarChar);
       SqlCmd.Parameters("@Title").Value = TitleInput;
       SqlCmd.Parameters("@Publisher").Value = PublisherInput;
       SqlCmd.ExecuteNonQuery();
   }
}

SqlCmd.Dispose();
SqlConn.Close();
SqlConn.Dispose();

最后,清理您的输入.在您的应用程序中使用参数,并且不要信任任何用户,即使是内部用户.我怎么强调都不过分.

编辑:因为给猫剥皮的方法不止一种,我觉得不包括 LINQ to SQL 解决方案是愚蠢的(至少在计数问题上):

int PermsAvailable = (from up in db.UserPermissions
                      where up.Username == 
                          System.Environment.UserDomainName + "\" + 
                          System.Environment.UserName
                      && up.Publisher == PublisherInput
                      select up).Count();
if(PermsAvailable)
{
    var NewBook = New Book with {.Title = TitleInput, .Publisher = PublisherInput};
    db.Books.Add(NewBook);
}

本文地址:https://www.itbaoku.cn/post/1793986.html