Sicherheit von gespeicherten Prozeduren in Bezug auf SQL-Injections

[openshinok]

hallo,
wenn ich ab und zu etwas über SQL-Injections lese wird behauptet dass eine gespeicherte Prozedur auch nicht sicher ist sondern lieber prepared Statements verwendet werden sollen.

Ich kann das nicht ganz nachvollziehen da ich -aus meiner Sicht- keinen schadhaften Code in das SQL-Statement schleußen kann wenn ich nicht gerade mich Execute innerhalb der SP arbeite.

verständlich nicht sicher:
EXEC 'SELECT name, vorname FROM Adressen WHERE adressenID = ' + @intAdressenID

Sicher?
SELECT name, vorname FROM Adressen WHERE adressenID = @intAdressenID

[Bernhard Geyer]

Ich kann das nicht ganz nachvollziehen da ich -aus meiner Sicht- keinen schadhaften Code in das SQL-Statement schleußen kann wenn ich nicht gerade mich Execute innerhalb der SP arbeite.

Unser (noch) CRM-System macht genau das. Und das noch schlimmer: Indem das fertig zusammengebaute SQL-Statement an die SP übergeben wird und dort per EXEC ausgeführt wird ist praktisch jede SQL-Injektion möglich da auch an einigen stellen im Programm selbst das Quoten von Eingaben vergessen wurde (Das Berühmte "'; DROP TABLE/DATABSE;" lässt Grüßen.

Ich denke SP's sind genauso sicher wie Prepared Statements wenn man sich an ein paar Richtlinien hält.