.Net, SQL Server, et les requêtes paramétrées (C#)

Date de publication : 05/09/2004

Par Ronald VASSEUR (autres articles)
 

Utilisation des requêtes paramétrées avec SQL Server et C#

Avant propos

1. Introduction

2. Les attaques de type injection SQL

Select * From maTable Where monChamp = 'les_mots_clés_entrés_par_l'utilisateur' ;

Dans votre application, vous utilisez une requête avec concaténation de ce type :
maRequete = "SELECT nom, prenom FROM maTable Where identifiant = '" + maTextBox.Text + "'";

15' ; DELETE FROM maTable WHERE identifiant <>'';

maRequete = "SELECT nom, prenom FROM maTable Where identifiant = '15' ; DELETE FROM maTable WHERE identifiant <>'';";

3. Les requêtes paramétrées

En voilà un exemple :
SELECT nom FROM Clients WHERE Nom = @nomClient

Attention : toutes les commandes T-SQL ne fonctionneront pas avec un paramètre, par exemple "Use @ma_base" va soulever une exception, il faut absolument que le paramètre soit utilisé dans une expression (par exemple xxx = @param ou zzz * @param). Ceci n'est embêtant que dans quelques situations, et ne remet pas en question l'utilité des requêtes paramétrées.

4. Les classes du .Net framework

5. Les requêtes paramétrées dans le code

Le code complet
SqlConnection maConnexionSQLsrv; 
SqlCommand myCommand; 
string maRequete, ConnexionSQL; 

//Récupération de la chaine de connexion au serveur de base de données 
ConnexionSQL = ConfigurationSettings.AppSettings["ConnectionStringSQLsrv"]; 
maConnexionSQLsrv = new SqlConnection(ConnexionSQL); 

//Requete mise a jour de la table client 
maRequete = "INSERT INTO [article] ( [idclient],[idarticle],[prixarticle]) 
                         VALUES (@id_article, @prix_article, @nom_article)"; 

//Création de la commande SQL 
myCommand = new SqlCommand(maRequete, maConnexionSQLsrv); 

//Création et décalartion des paramètres 
myCommand.Parameters.Add(new SqlParameter("@id_article", SqlDbType.Int, 4)); 
myCommand.Parameters.Add(new SqlParameter("@prix_article", SqlDbType.Float, 8)); 
myCommand.Parameters.Add(new SqlParameter("@nom_article", SqlDbType.VarChar, 25)); 

//Attribution des valeurs aux paramètres 
myCommand.Parameters["@id_article"].Value = Convert.ToInt32(maTextBox1.Text); 
myCommand.Parameters["@prix_article"].Value = Convert.ToDouble(maTextBox2.Text); 
myCommand.Parameters["@nom_article"].Value = maTextBox3.Text; 

try 
{ 
  //Execution de la requête 
  myCommand.Connection.Open(); 
  myCommand.ExecuteNonQuery(); 
  myCommand.Connection.Close(); 
} 
catch (SqlException ex) 
{ 
  Response.Write(ex.Message); 
}

maCommande.Parameters.Add(new SqlParameter("@mon_paramètre", le_type_du_paramètre));

maCommande.Parameters.Add(new SqlParameter("@param1", SqlDbType.Int, 4));

myCommand.Parameters..Add(new SqlParameter ("@nom_article", SqlDbType.VarChar, 25));

myCommand.Parameters.Add(new SqlParameter("@id_article", SqlDbType.Int, 4));

myCommand.Parameters["@id_article"].Value = Convert.ToInt32(maTextBox1.Text);                
myCommand.Parameters["@prix_article"].Value = Convert.ToDouble(maTextBox2.Text);              
myCommand.Parameters["@nom_article"].Value = maTextBox3.Text;

myCommand.Connection.Open(); 
myCommand.ExecuteNonQuery(); 
myCommand.Connection.Close();

6. Les avantages et inconvénients

• Sécurité : comme nous l'avons vu, c'est une excellente protection contre les attaques de type SQL Injection.
• Rapidité : une requête paramétrée est plus rapide dans la majorité des cas qu'une requête " standard " car les données sont compilées directement avec le code au lieu d'être ajoutées dans la base de données au dernier moment juste avant l'exécution de la requête.
• Lisibilité : une requête paramétrée est quand même beaucoup plus lisible qu'une requête avec des caractères de concaténation dans tous les sens, surtout quand celle-ci est complexe.

7. Conclusion

Ressources

Documentation relative à la classe SQLparameter :  Cliquez ici

Documentation relative à l'espace de nom System.Data.SqlClient :  Cliquez ici


Un grand merci à Freegreg, Morpheus et Bidou pour leur aide.