站长速成：30分钟掌握MSSQL安全查询实战

　　上线那晚，我蹲在机房门口啃冷包子，后端小张叼着根没点的烟，设计小刘在远处狂戳手机——测试群一直在响，红点八百个，没人点进去看。白板上还留着上会写的“MSSQL权限收敛”几个字，底下被人用记号笔潦草画了个哭脸。我说站长速成？呸。是站长速死。去年三月，那版改完第七次登录页，顺手把SQL查语句全塞进存储过程里了，结果连查个用户邮箱都带出整张sys.tables。我原以为加个EXECUTE AS就万事大吉，结果上线后五分钟，老板微信弹出来：“数据库慢得像在读《康熙字典》。”

文章配图，仅供参考

　　其实真不是查得慢，是查得太大胆。你信不信？有个站，管理员账号连db_datareader都没给，只开了EXECUTE——结果写了个sp_whoisuser，里面藏着EXEC('SELECT FROM sys.databases')，还美其名曰“动态元数据适配”。呵。优胜劣汰？对。不是谁学得快谁活，是谁敢删SELECT 谁先活下来。我见过三个站长：A站长查日志非要用SELECT FROM dbo.Logs WHERE CreatedTime > '2023-01-01'，表有两千万行，他跑一次等于让DBA集体抄一遍《安全生产法》；B站长直接把@SQL变量拼进去，传参里塞了个单引号，第二天监控告警：SQL Server被喂了一万条' OR 1=1--'；C站长呢？C站长把所有查询拆成“只读视图+行级过滤+WITH(NOLOCK)加注释说明风险”，连实习生改个WHERE都得先过他眼。仨人现在剩一个半——C还在，A转去搞前端埋点，B上周提了离职，走之前在钉钉上发我一张截图：他写的“SELECT FROM Users”的执行计划，cost显示187.6%，底下写着“建议：人类离线。”

　　说白了，所谓“30分钟掌握”，就是三十分钟里，前二十五分钟砍掉所有花活，最后五分钟抄四行硬代码：①永远用参数化查询，哪怕就查个id；②所有视图加WITH SCHEMABINDING；③sysobjects、syscolumns这种元数据表？想都别想，要字段名自己手敲，不许EXEC；④查完立刻SET NOCOUNT ON——不是为性能，是防返回集多出一行"X 行受影响"吓懵前端。我上个月帮一个迁移组救火，他们把旧系统里的sp_GetUserInfo直接搬过去，连注释都没删，“-- 此处临时放开SELECT 用于调试”还留在生产环境。窗外天黑了，机房灯一排排灭，我站在冷气口边，手里那根烟燃到过滤嘴，没吸一口。

　　后端小张后来问我：“为什么非逼我们手写列名？”我没答。因为他刚改完登录接口，把@username参数从NVARCHAR(50)改成NVARCHAR(200)，理由是“怕用户输太长”。可问题不在长度，在他写的那句SELECT FROM Users WHERE UserName = @username AND Status = 1——Status字段根本没索引。设计小刘那天穿了双新球鞋，踩着椅子调UI动效，脚踝上露出半截绷带，说是上周陪产假结束返岗第一天扭的。这事儿跟我没关系，但每次看到她弯腰，我就想起我们当年上线前删掉的那个JOIN：UserRoles和Roles中间少建外键，只靠应用层硬校验，结果凌晨三点，一个角色ID传错位，五百个后台用户全进了Admin组。没人骂，因为没人发现——直到运维查备份时发现master.sys.log中有一千多个sp_addrolemember调用，时间戳全挤在12:47:23那一秒。后来我们手动rollback，用的是NOT IN + 子查询套三层。现在想想，真蠢。早该用EXCEPT，但我当时光顾着想午饭吃什么，点了份麻辣烫，汤底辣得我当场流鼻涕。

　　优胜劣汰这话没错，但淘汰标准不是你会不会写CTE，是你会不会在CRUD里主动删掉一个星号。有人问，是不是所有都得干掉？我说不一定。比如SELECT FROM (VALUES (1,'a'),(2,'b')) t(id,name) ——这种伪表可以，它根本不动磁盘。可一旦碰上真实表，哪怕是只有三列的配置表，也给我老老实实列出来。我见过最离谱的是一张叫AppConfig的表，就四列：Id,Key,Value,IsEnabled，结果查询全写SELECT ，导致前端渲染时莫名其妙把IsEnabled字段当字符串用了三个月，布尔值全变“True”“False”两个字符串——因为忘了CAST。没人背锅，大家都说“这是兼容逻辑”，直到审计方来问：你们怎么确保Value字段永远不存‘;DROP TABLE’？那一刻全场安静，只有测试群又响了一声，外卖到了，没人去拿。

　　所以这次我准备直接甩代码。不是讲原理，是发个SQL脚本包：里面三个文件——check_star_usage.sql（扫全库SELECT ）、list_unindexed_where_columns.sql（揪出那些没索引却总被WHERE的字段）、gen_readonly_views.sql（根据表结构自动生成列明确的只读视图）。我昨天试跑了，生成了147个视图，其中49个带注释写着“此视图禁止JOIN，因关联字段未加索引”，23个下面标着“注意：CreatedDate未建索引，查询时勿加ORDER BY”。剩下的？剩下的是我要今晚重写的——因为有8个视图，自动生成的列名顺序跟业务逻辑相反，导致前端展示乱序。是我脚本逻辑写歪了。这个板，是我拍错的。

　　下礼拜一，我把这仨脚本扔进共享盘，命名就叫“站长生存包.v3”，v1被我删了，v2里混着一段调试用的WAITFOR DELAY '00:00:05'，上线前没去掉。我现在抽的这根烟，还是上次开会分的，蓝盒子，薄荷味，味道淡得像没发生过。算了，也不怪谁。反正SQL Server自己不care你是站长还是扫地阿姨，它只认执行计划里那个红色警告三角——那是它唯一会流泪的地方。

（编辑：站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!