[SQL SERVER 2K]Droits d'exécution procédure stockée

Salut,
j'utilise une procédure stockée par laquelle j'insère des données. Je crée une instruction sql en concaténant plusieurs chaines de caracteres.Je l'exécute avec exec(instruction sql). Cependant j'ai des droits restreints et mon instruction est un insert, or je n'ai pas les droits d'insertion. Quelqu'un sait il si je peux exécuter une instruction avec des droits particulier lors de l'appel de cette procédure par un programme?

Bonjour,

je ne suis pas sûr d'avoir bien compris la question, mais basiquement, quand vous faites du SQL dynamique dans une procédure, vous devez vous assurez que le login/user qui exécute la procédure a les droits adéquats sur les objets référencés dans le SQL dynamique. C'est une règle de sécurité pour SQL Server, qui cherche par là à se prémunir contre des injections : imaginez que vous permettiez d'insérer dans votre SQL dynamique le contenu de paramètres passés à la procédure, vous risqueriez alors d'être la victime de tentatives d'injection, cad d'envoi de code SQL non désiré au serveur.

Extrait de l'aide en ligne MS :

"

Citation:

---

Lorsqu'une procédure stockée qui exécute une chaîne est lancée, les autorisations sont vérifiées dans le contexte non pas de l'utilisateur qui a créé la procédure, mais de celui qui exécute la procédure. Toutefois, si un utilisateur est propriétaire de deux procédures stockées et que la première appelle la seconde, l'autorisation EXECUTE n'est pas vérifiée pour la seconde procédure.

---

"
Donc, encapsulez la proc stock dans une autre !


A +

Alors, j'ai essayé mais semble-t-il, cela ne marche pas,

voila ma premiere proc stockée :

Citation:

---

CREATE PROCEDURE [dbo].[ps_I_importdata]
@nom_table CHAR (255),
@champs char (255),
@data CHAR (255)

as
DECLARE @SQLStatement varchar(255)
begin
select @sqlstatement= 'insert into ' + rtrim(@nom_table) + ' (' + rtrim(@champs) + ') values (' + rtrim(@data) +')'
print (@SQLStatement)
EXEC ps_i_test @sqlstatement
end
GO

---

Voila ma deuxieme :

Citation:

---

CREATE PROCEDURE [dbo].[ps_I_test]
@nom_table CHAR (255)

as
DECLARE @SQLStatement varchar(255)
begin
--select @sqlstatement= 'insert into ' + rtrim(@nom_table) + '(' + rtrim(@champs) + ') values (' + rtrim(@data) +')'
print (@nom_table)
EXEC (@nom_table)
end
GO

---

Voila comment j'appelle ma procédure :

Citation:

---

exec ps_i_importdata 'I_SIGLE','ID_SIGLE,DESIGN','"FF","rrrrrrr"'

---

Et enfin voila mon message d'erreur, comme ca c'est complet!!!
Server: Msg 229, Level 14, State 5, Line 1
INSERT permission denied on object 'I_SIGLE', database '---, owner 'dbo'.

vous n'y couperez pas : en cas de SQL dynamique, vous devez assurer les droits sur les objets

Vous n'avez visiblement pas bien compris...

Voici la correction

Code:

---

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26

CREATE PROCEDURE [dbo].[ps_I_test] @nom_table CHAR (255), @champs char (255), @data CHAR (255)   as DECLARE @SQLStatement varchar(255) begin select @sqlstatement= 'insert into ' + rtrim(@nom_table) + '(' + rtrim(@champs) + ') values (' + rtrim(@data) +')' EXEC (@nom_table) end GO   CREATE PROCEDURE [dbo].[ps_I_importdata] @nom_table CHAR (255), @champs char (255), @data CHAR (255) As DECLARE @SQLStatement varchar(255) begin select @sqlstatement= 'ps_I_test ''' + @nom_table + ''', ''' + @champs + ''', ''' + @data EXEC ps_i_test @sqlstatement end GO   exec ps_i_importdata 'I_SIGLE','ID_SIGLE,DESIGN','''FF'',''rrrrrrr'''

---

A +

Merci!!! Ca marche maintenant...

:lol:

en passant, désolé pour ma réponse trop définitive. Je ne connaissais pas cette astuce.