防止sql注入，sql2005用户名的权限怎么设置比较安全？

Question

防止sql注入，sql2005用户名的权限怎么设置比较安全？

---

macle

Answer 1

Depends on what user needs to do, any details?

Answer 2

禁止sql用户改写数据，甚至连读数据都可以禁止。只允许执行存储过程，可以防止普通的sql注入攻击程序。
不过要防止黑客的攻击，还是得搞好前端程序的安全性。

---

想不想时已是想，不如不想都不想。

Answer 3

怡红公子说得比较全面了，我再补充一点：
注入攻击很大程度上是基于对于数据库内部状况的了解进行的，比如能够猜到有某些表，某些列，然后设计相应的注入代码。所以还有一个办法就是将数据库表、列在最后部署时翻译为随机字符串，只使用名字有意义的存储过程，使得直接操作表成为不可能，会安全一些。还有就是对于重要的数据段加密，不要直接存明文。

Answer 4

权限还是比较重要, 比如, 如果敏感信息根本就没有授权给注入的用户查询, 那么他注入了也无法查

所以, 最小化用户权限是最基本的, 这个当然是根据你的业务来定, 不要做什么都用同一个帐号
有条件的还可以考虑数据的隔离, 最重要的数据放在外面的应用无法直接访问的地方

Answer 5

除了在數據庫用戶權限控制，在應用方面
http://msdn.microsoft.com/en-us/magazine/cc163523.aspx

參照
http://topic.csdn.net/u/20080504/20/763ed034-317a-4695-a476-26317b905012.html

---

ROY WU(吳熹)