Paramètre de chaîne SQL Encode afin que les caractères spéciaux fonctionnent

Question

Je voudrais être en mesure d'ajouter un nouveau SQL LOGIN et le nommer après une adresse e-mail d'une personne. Par exemple "billg@example.com". Quand je passe ceci à la procédure stockée suivante j'obtiens une erreur (l'erreur suit la procédure).

Le proc stocké:

CREATE PROCEDURE [Forms].[AddLogin] 
    @Email nvarchar(2048), 
    @TenantPassword nvarchar(2048) 
AS 
BEGIN 
    -- SET NOCOUNT ON added to prevent extra result sets from 
    -- interfering with SELECT statements. 
    SET NOCOUNT ON; 

    EXEC('CREATE LOGIN ' + @Email + ' WITH PASSWORD = ''' + @TenantPassword + ''', DEFAULT_DATABASE = DunderMifflin') 
END 

L'erreur:

Msg 102, Level 15, State 1, Line 1 
Incorrect syntax near '.'. 

Je suis sûr que tout ce que je dois faire est encode le paramètre en quelque sorte. De l'aide? Si j'ajoute un utilisateur via l'assistant SQL Manager, je peux spécifier des adresses e-mail, donc je sais que c'est un nom de connexion valide.

Answer 1

Vous devriez pouvoir l'entourer avec des crochets, as detailed here:

EXEC('CREATE LOGIN [' + @Email + '] WITH PASSWORD = ''' + @TenantPassword + ''', DEFAULT_DATABASE = DunderMifflin') 

Answer 2

avertissement d'injection obligatoire: Quoi que vous fassiez, s'il vous plaît ne laissez pas le mot de passe de l'utilisateur directement dans cette routine !! Que faire si l'utilisateur a entré un mot de passe

bill');DROP DATABASE DunderMifflin;-- 

puis vous exécutez essentiellement la déclaration:

CREATE LOGIN billg@microsoft.com WITH PASSWORD = 'bill'); 
DROP DATABASE DunderMifflin; 
-- ''', DEFAULT_DATABASE = DunderMifflin') 

et ce n'est pas bon.