LINQ和数据库权限

Question

我仍然在尝试理解LINQ和访问SQL数据库。

我一直被告知，您应该只拥有对数据的存储过程的执行权限。

你永远不应该有select / insert / update / delete。

(这是因为性能和安全性)

要从LINQ中获取数据，您显然需要select权限。我知道你可以在LINQ中使用存储过程，但是既然我不能做joins，那又有什么意义呢？

我错过了什么吗？

Answer 1

1)我们是程序员，不是DBA法西斯主义者。如果您的需求要求数据库必须100%锁定，则Linq不适合您。我不是DBA，所以我相信大多数关于性能/安全性的宣传都是如此。Linq是给我的。

2)你可以用linq做连接。

@Philippe: Linq自动将求值转换为查询参数，因此它提供了一些sql注入保护。但是，您仍然必须仔细评估您的需求，以确定您需要多少安全性以及在什么级别。Linq使处理数据库变得容易得多，但它使将安全性设计放在次要位置变得更容易，这是一件坏事。

Answer 2

在“存储过程与内联SQL/LINQ”问题上，我非常同意Jeff Atwood的观点：Who Needs Stored Procedures, Anyways?。

我搞不懂，如果您是SPROC -for-everything人群中的一员，为什么还要执行连接；您不应该将该连接包装到另一个SPROC中吗？

正如Will所说，LINQ并不是为您所说的那种DB使用而设计的；它的设计目的是为我们提供静态类型的内联SQL。但是，如果使用LINQ to SQL，仍然可以通过用户权限控制访问。

Answer 3

好吧，出于安全原因，您不应该在查询中输入任何用户输入的数据。如果你坚持这个规则，我看不出有select权限的问题。