Гость
Войти | Профиль | Очистить
Целевая тема:
Создать новую тему:
Автор:
Действия ...
Форумы / WinForms, .Net Framework [игнор отключен] [закрыт для гостей] / Ошибка синтаксиса в параметризированном запросе / 8 сообщений из 8, страница 1 из 1
09.07.2013, 20:05
    #38326064
Mikhail Tchervonenko
Mikhail Tchervonenko
Участник
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Ошибка синтаксиса в параметризированном запросе
При вызове вываливает ошибку синтаксиса в районе CAST(
Код: c#
1.
2.
3.
4.
5.
6.
.....
                comm.CommandText = "CREATE LOGIN CAST(@UserName as nvarchar(8)) WITH PASSWORD=CAST(@Pass as nvarchar(20)), DEFAULT_DATABASE=[master], CHECK_EXPIRATION=OFF, CHECK_POLICY=OFF";
                comm.Parameters.Add(new SqlParameter("@UserName", SqlDbType.VarChar)).Value = UserName;
                comm.Parameters.Add(new SqlParameter("@Pass", SqlDbType.VarChar)).Value = Pass;
                comm.ExecuteNonQuery();
.....



пробовал и на прямую подставлять в строку (без параметров). всеравно ругается в этом месте. Что не так?
Если напрямую в SQL Studio выполняю все проходит. Предполагаю ошибся где то в шарпе.
MSSQL 2008
...
Рейтинг: 0 / 0
| Ответить | Цитировать | Написать  
09.07.2013, 20:17
    #38326070
Mikhail Tchervonenko
Mikhail Tchervonenko
Участник
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Ошибка синтаксиса в параметризированном запросе
Mikhail Tchervonenko,

разобрался, тут нельзя использовать параметризированные запросы,
как минимум тут CREATE LOGIN [LoginName]
как тогда с инъекциями бороться?
...
Рейтинг: 0 / 0
| Ответить | Цитировать | Написать  
09.07.2013, 20:34
    #38326077
Яростный Меч
Яростный Меч
Участник
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Ошибка синтаксиса в параметризированном запросе
Mikhail Tchervonenkoкак тогда с инъекциями бороться?ограничить допустимый набор символов для логина и пароля, проверять регексом.
...
Рейтинг: 0 / 0
| Ответить | Цитировать | Написать  
09.07.2013, 20:58
    #38326089
sphinx_mv
sphinx_mv
Участник
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Ошибка синтаксиса в параметризированном запросе
Mikhail TchervonenkoMikhail Tchervonenko,

разобрался, тут нельзя использовать параметризированные запросы,
как минимум тут CREATE LOGIN [LoginName]
как тогда с инъекциями бороться? sp_addlogin
...
Рейтинг: 0 / 0
| Ответить | Цитировать | Написать  
10.07.2013, 15:34
    #38326959
Mikhail Tchervonenko
Mikhail Tchervonenko
Участник
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Ошибка синтаксиса в параметризированном запросе
sphinx_mvMikhail TchervonenkoMikhail Tchervonenko,

разобрался, тут нельзя использовать параметризированные запросы,
как минимум тут CREATE LOGIN [LoginName]
как тогда с инъекциями бороться? sp_addlogin

Important
This feature will be removed in a future version of Microsoft SQL Server. Avoid using this feature in new development work, and plan to modify applications that currently use this feature. Use ALTER LOGIN instead.
...
Рейтинг: 0 / 0
| Ответить | Цитировать | Написать  
10.07.2013, 17:44
    #38327183
sphinx_mv
sphinx_mv
Участник
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Ошибка синтаксиса в параметризированном запросе
Mikhail Tchervonenkosphinx_mvпропущено...
sp_addlogin

Important
This feature will be removed in a future version of Microsoft SQL Server. Avoid using this feature in new development work, and plan to modify applications that currently use this feature. Use ALTER LOGIN instead.Оно тому уже "три с половиной" версии, включая последнюю, как в статусе "will be removed in a future version", а все никак не помрет...
Так что 3-4 года эта фича будет вполне актуальна... "А за это время или ишак сдохнет, или падишах умрет" (с)
...
Рейтинг: 0 / 0
| Ответить | Цитировать | Написать  
10.07.2013, 18:07
    #38327221
Mikhail Tchervonenko
Mikhail Tchervonenko
Участник
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Ошибка синтаксиса в параметризированном запросе
sphinx_mvMikhail Tchervonenkoпропущено...


Important
This feature will be removed in a future version of Microsoft SQL Server. Avoid using this feature in new development work, and plan to modify applications that currently use this feature. Use ALTER LOGIN instead.Оно тому уже "три с половиной" версии, включая последнюю, как в статусе "will be removed in a future version", а все никак не помрет...
Так что 3-4 года эта фича будет вполне актуальна... "А за это время или ишак сдохнет, или падишах умрет" (с)

Ваши бы слова да Господу в уши :)

на самом деле проблема интересная. Налицо невозможность сделать параметризированный запрос и отсутствие стандартных средств (за исключением продекларированных как умирающие) позволяющих защититься от инъекций. Интересно, что сказали бы эксперты от мелкософта. Уж больно не охота городить регулярки без гарантии что они на все случаи сойдут.
...
Рейтинг: 0 / 0
| Ответить | Цитировать | Написать  
10.07.2013, 18:08
    #38327224
Mikhail Tchervonenko
Mikhail Tchervonenko
Участник
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Ошибка синтаксиса в параметризированном запросе
Яростный МечMikhail Tchervonenkoкак тогда с инъекциями бороться?ограничить допустимый набор символов для логина и пароля, проверять регексом.
это все некрасивые решения причем не гарантирующие полной защиты от инъекций.
...
Рейтинг: 0 / 0
| Ответить | Цитировать | Написать  
Форумы / WinForms, .Net Framework [игнор отключен] [закрыт для гостей] / Ошибка синтаксиса в параметризированном запросе / 8 сообщений из 8, страница 1 из 1
Найденые пользователи ...
Разблокировать пользователей ...
Читали тему (0):
Читали форум (0):
Пользователи онлайн (0):
Польз. соглашение
созд. / загр.: 261ms
Закрыть
start [/forum/topic.php?fid=20&mobile=1&tid=1404383]:
 0ms
get settings:
 10ms
get forum list:
 15ms
check forum access:
 5ms
check topic access:
 5ms
track hit:
 155ms
get topic data:
 11ms
get forum data:
 2ms
get page messages:
 44ms
get tp. blocked users:
 2ms
others: 12ms
total:  261ms
x
x
Закрыть


Просмотр
0 / 0
Close
Debug Console [Select Text]