SQL Server Performance Forum – Threads Archive

Opinion de Sql Dinamico

Buenas, una consulta, que virtudes y desventajas tengo al usar sql dinamico?, estoy leyendo un escrito que encontre y de inicio queria saber que me pueden comentar para complemetar la informacion obtenida. Muchas gracias de antemano por sus comentarios.
Jesus Aguilar

Que yo sepa no hay ventajas ni desventajas del uso de sql dinÃ¡micas.
Por si acaso esperemos el comentario de Maldon.
Luis Martin
Moderator
SQL-Server-Performance.com One of the symptoms of an approaching nervous breakdown is the belief that one’s work is terribly important
Bertrand Russell
All postings are provided â€œAS ISâ€ with no warranties for accuracy.

Este es el link que me facilitaron.
http://www.hayes.ch/sql/sql_dinamico.html Habla de un pre procesamiento que se da con los procedimientos normales los que no se dan en un procedimiento dinamico, entre otras cosas.

Dentro de las desventajas hay algunas importantes Seguridad:
=========
Cuando se ejecuta un query dinamico el usuario final tiene que tener permiso sobre las tablas que va a afectar, en cambio si pertenece al cÃ³digo de un procedimiento solo tiene que tener permiso de EXEC del procedimiento. En aplicaciones bancarias donde la seguridad es importante es muy bien recibido que el Ãºnico permiso que neseciten los usuarios sea EXEC de stored procedures. Si el usuario tiene permiso de UPDATE sobre las tablas podrÃa modificar los datos desde cualquier aplicaciÃ³n que use ODBC como por ejemplo Excel.
Mantenimiento:
=============
Es mucho mÃ¡s claro y confiable tener el cÃ³digo rÃgido que ir armÃ¡ndolo en variables, ya que en la segunda opciÃ³n se suma la posibilidad de cometer un error sintÃ¡ctico en tiempo de ejecuciÃ³n. Claro que es mÃ¡s flexible pero a la hora del mantenimiento es mucho mas costoso en tiempo y dinero. InyecciÃ³n de codigo:
====================
Otro problena es que cuando se arma un SQL dinÃ¡mico y no se validan bien los datos ingresados por el usuario podÃ©s incurrir en el problema de inyecciÃ³n de cÃ³digo. Esto se da cuando en una variable el usuario te carga cÃ³digo SQL por pantalla y vos lo concatenÃ¡s al string que estÃ¡s armando en tu variable, y que en definitiva se te arma cÃ³digo vÃ¡lido T-SQL que la instruccion exec() te ejecuta, por ejemplo, que el usuario te agrege " ‘ go DELETE tablename –" a un dato que vos pedÃs por pantalla. Tambien al ejecutar por primera vez un procedimiento, el plan de ejecuciÃ³n se mantiene en la cache de procedimientos para las prÃ³ximas ejecuciÃ³nes, pero si tiene instrucciones de SQL dinÃ¡mico adentro del stored procedure el plan del SQL DinÃ¡mico no forma parte del plan del procedimiento. AdemÃ¡s es mÃ¡s dificil hacerles unning ya que la variable que en definitiva se ejecuta con EXEC() tiene muchas combinaciones y hay que probarlas a todas. Nosotros no utilizamos SQL DiÃ¡mico principalmente por la cuestiÃ³n de seguridad y la claridad del cÃ³digo.
Saludos

]]>