Primero, dé conclusiones que puedan utilizarse para la adopción de decisiones
El riesgo de cambiar SQLs en el lenguaje natural incluye error en el entendimiento de campo, conexión de error, filtración de fugas, sobrecarga, escaneo completo y entrada maliciosa. El enfoque de control no es hacer que la pista sea más rigurosa, sino reducir el espacio de semántica y de implementación que el modelo puede elegir.
¿Qué condiciones deben determinarse antes de que se haga el juicio?
La misma pregunta puede tener diferentes respuestas en diferentes fases de negocios, datos y proyectos. Se sugiere que se revisen las siguientes condiciones y que los resultados comunes en la web se incorporen en sus propios proyectos.
Orden de anticipación propuesta
Primero, seremos claros sobre el objetivo y la frontera.
Crea capas semánticas controladas y conjuntos de datos solo lectura.
Dependencia de la clave de la validación
Los resultados son la resolución SQL, filtración de derechos, limitaciones de recursos y auditoría.
Desarrollo de resultados evaluables
Pruebas con muestras de búsqueda transversales y a gran escala.
Asegúrese de decidir el siguiente paso con los resultados reales.
Comprobando acceso fallido, lento y irregular después de ir en línea.
¿Cómo lo entiendes en el negocio real?
Cuando el gerente regional le pide una lista detallada de clientes en todo el país, el sistema sólo regresa a la zona autorizada por identificación; si la solicitud contiene campos sensibles, la solicitud no está autorizada. La consulta se convierte en un indicador de pre-agregación cuando se supere el presupuesto de escaneo o se reduce el plazo.
El pozo más fácil de seguir.
Haga todas las consultas usando la cuenta de base de datos de administrador compartido
Esconder campos sólo en la página y no filtrarlos en la capa de datos
Sin descomposición, sin límite de tiempo para la ejecución directa después de la generación modelo de SQL
¿Cómo terminaremos recibiendo y confirmando?
El registro debe poder localizar al usuario, problema, consulta y estado de resultado de la organización, columna y campos sensibles, utilizando diferentes cuentas de trabajo y cubriendo la inyección SQL, inyección de punta, consulta super-alta, conexión de error, horas extras y solicitudes de repetición.
Al prepararse para comunicarse con proveedores o equipos internos, se recomienda que se introduzcan procesos actuales, muestras representativas, sistemas existentes, tiempo de planificación y niveles presupuestarios. En primer lugar, los elementos desconocidos están claramente marcados, y luego se toma la decisión de utilizar diagnósticos, PoC, proyectos de alcance fijo o investigación y desarrollo continuo, que generalmente es más fiable que una demanda directa de un precio y duración sin fronteras.