動的SQLストアドプロシージャを保護する方法は？

Question

私は、テーブルの名前をパラメータとしてとり、動的SQLを使用して選択を実行するストアドプロシージャを持っています。 @TableNameをパラメータとして渡してsp_executesqlを使用しようとしましたが、エラーが発生しました。私は、sp_executesqlを使用せずに直接動的SQLを使用することに決めました。

SQLインジェクション攻撃を避けるために@TableNameパラメータを保護するために何かすべきことはありますか？

以下

ストアド・プロシージャの代わりにsp_executesqlを使用している場合

CREATE PROCEDURE dbo.SP_GetRecords 
    ( 
    @TableName VARCHAR(128) = NULL 
    ) 
AS 
BEGIN 

    /* Secure the @TableName Parameter */   
    SET @TableName = REPLACE(@TableName, ' ','')  
    SET @TableName = REPLACE(@TableName, ';','')  
    SET @TableName = REPLACE(@TableName, '''','') 

    DECLARE @query NVARCHAR(MAX)  

    /* Validation */  
    IF @TableName IS NULL 
    BEGIN  
     RETURN -1 
    END 

    SET @query = 'SELECT * FROM ' + @TableName 
    EXEC(@query)   
END 

は、これは失敗しました：

SET @query = 'SELECT * FROM @TableName' 
EXEC sp_executesql @query, N'@TableName VARCHAR(128)', @TableName 

ERROR: Must declare the table variable "@TableName".

Answer 1

こちらをご覧ください：

How should I pass a table name into a stored proc?

Answer 2

おもちろんsysobjectsテーブルを見て、それが存在することを確認することができます

Select id from sysobjects where xType = 'U' and [name] = @TableName 

さらに（詳細な例）：

DECLARE @TableName nVarChar(255) 
DECLARE @Query nVarChar(512) 

SET @TableName = 'YourTable' 
SET @Query = 'Select * from ' + @TableName 

-- Check if @TableName is valid 
IF NOT (Select id from sysobjects where xType = 'U' and [name] = @TableName) IS NULL 
    exec(@Query)