添加数据的SQL权限以及如何验证?

好吧,让我们把这个分解一下:

验证用户是否可以写入表(如果为真,则返回1,否则返回0):

SELECT isnull(has_perms_by_name('MyDb.dbo.MyTable', 'OBJECT', 'INSERT'), 0)

验证用户是否可以写入该发布服务器:

SELECT count(*) FROM UserPermissions WHERE
UserName = 'username' AND Publisher = 'publisher'

现在,这就是这些的SQL,而不是实际的C。要获得c中的值:

SqlConnection SqlConn = new SqlConnection("connection_string_goes_here");
SqlCommand SqlCmd = new SqlCommand();

SqlConn.Open();
SqlCmd.Connection = SqlConn;
SqlCmd.CommandText = "SELECT isnull(has_perms_by_name('MyDb.dbo.MyTable', " +
    "'OBJECT', 'INSERT'), 0)"

if (SqlCmd.ExecuteScalar())
{
   SqlCmd.CommandText =
       "SELECT count(*) FROM UserPermissions WHERE " +
       "Username = " + System.Environment.UserDomainName + "\" + 
           System.Environment.UserName + " " +
       AND Publisher = @Publisher";
   SqlCmd.Parameters.Add("@Publisher", SqlDbType.NVarChar);
   SqlCmd.Parameters("@Publisher").Value = PublisherInput;

   if(SqlCmd.ExecuteScalar())
   {
       SqlCmd.Parameters.Clear();
       SqlCmd.CommandText = "INSERT INTO Books (Title, Publisher) VALUES " +
                            "(@Title, @Publisher)";
       SqlCmd.Parameters.Add("@Title", SqlDbType.NVarChar);
       SqlCmd.Parameters.Add("@Publisher", SqlDbType.NVarChar);
       SqlCmd.Parameters("@Title").Value = TitleInput;
       SqlCmd.Parameters("@Publisher").Value = PublisherInput;
       SqlCmd.ExecuteNonQuery();
   }
}

SqlCmd.Dispose();
SqlConn.Close();
SqlConn.Dispose();

作为最后一点, 净化你的输入 . 在应用程序中使用参数,以及 不要信任任何用户,即使是内部用户 . 我不能再强调了。

编辑:因为有不止一种方法可以剥猫皮,我觉得不包括linq-to-sql解决方案(至少包括count问题)是愚蠢的:

int PermsAvailable = (from up in db.UserPermissions
                      where up.Username == 
                          System.Environment.UserDomainName + "\" + 
                          System.Environment.UserName
                      && up.Publisher == PublisherInput
                      select up).Count();
if(PermsAvailable)
{
    var NewBook = New Book with {.Title = TitleInput, .Publisher = PublisherInput};
    db.Books.Add(NewBook);
}

This article 解释了保护具有特定权限的应用程序的各种方法。为了了解所使用的体系结构,值得阅读本系列的其余部分以及先前的ASP.NET 2.0系列。

从可用性的角度来看,我想知道在用户界面中管理可编辑性是否更友好。作为一个用户,如果我输入数据并收到一条消息,说我没有权限输入,我将不会被鼓励继续参与你的网站。

如果用户无法向数据库添加任何条目,则可以显示只读页(或DIV)。有权保存新条目的用户将得到一个可编辑的页面/div。

对于允许保存某些类别信息但不保存其他类别信息的用户,是否可以使用下拉列表限制该类别中的条目?例如,Bob的发布者下拉列表显示MSPress,而Jim的列表包括O'Reilly。这样,他们就可以从这些列表中清楚地看到他们在试图添加数据之前可以做什么。权限不是秘密,对用户是隐藏的。