Laravel调用SQL Server存储过程返回数据与直接执行结果不一致怎么解决？

问题根因 #

• 错误的默认值转换：你在Laravel代码中将所有未传入的空参数强制转换成了空字符串''（字符串类型参数）或0（数字类型的tipo参数），而非保留NULL值传给存储过程。
  你直接在SQL Server中测试时，只传了@apellido = 'coronel'，其余参数都是默认NULL，WHERE子句中OR 字段 = NULL的判断结果为不成立，所以只会匹配到apellido符合的1条记录。而通过Laravel调用时，其余参数被转成了''或0，OR nombre = ''、OR tipo = 0这类条件会匹配到所有对应字段为空/为0的无关记录，最终返回多条不符合预期的结果。
• 存在SQL注入风险：你直接将参数拼接到SQL语句中执行，若参数携带单引号会触发语法错误，若被恶意传参还会导致SQL注入漏洞。

修复方案 #

1. 优化Laravel调用代码 #

取消错误的默认值转换逻辑，改用参数绑定调用存储过程：

public function buscarusuario(Request $request)
{
    $apellido = $request->filled('apellido') ? $request->apellido : null;
    $nombre = $request->filled('nombre') ? $request->nombre : null;
    $nombreusuario = $request->filled('nombreusuario') ? $request->nombreusuario : null;
    $email = $request->filled('email') ? $request->email : null;
    $tipo = $request->filled('tipo') ? intval($request->tipo) : null;

    // 使用参数绑定调用存储过程
    $data = DB::select(
        "EXEC sp_buscarusuario ?, ?, ?, ?, ?",
        [$apellido, $nombre, $nombreusuario, $email, $tipo]
    );

    return $data;
}

2. （可选）优化存储过程逻辑 #

为了避免参数为NULL时的逻辑歧义，建议调整存储过程的WHERE条件，明确只有参数非空时才参与匹配：

ALTER PROCEDURE [dbo].[sp_buscarusuario]
    @apellido varchar (50) = NULL,
    @nombre varchar (50) = NULL,
    @nombreusuario varchar (50) = NULL,
    @email varchar(50) = NULL,
    @tipo int = NULL, 
    @error varchar(8000) = NULL OUTPUT
AS
BEGIN
    SELECT * 
    FROM usuario 
    WHERE (@apellido IS NOT NULL AND apellido = @apellido)
       OR (@nombre IS NOT NULL AND nombre = @nombre)
       OR (@nombreusuario IS NOT NULL AND login = @nombreusuario)
       OR (@email IS NOT NULL AND email = @email)
       OR (@tipo IS NOT NULL AND tipo = @tipo) 
END

内容的提问来源于stack exchange，提问作者Agustin Coronel