不授予SELECT权限，通过存储过程实现WinForms事件表多条件搜索

这确实是个很棒的思路——用存储过程封装查询逻辑，既能避免客户端拼接SQL带来的注入风险，又能精准控制用户权限（只给存储过程的执行权限，不给表的直接查询权限）。下面是针对你的需求的具体实现方案：

存储过程完整代码 #

CREATE PROCEDURE sp_searchForEvents 
    @name VARCHAR(30) = NULL, 
    @location VARCHAR(20) = NULL, 
    @startDate DATETIME = NULL
AS
BEGIN
    SET NOCOUNT ON; -- 减少额外结果集输出，提升性能

    DECLARE @sql NVARCHAR(MAX);
    DECLARE @params NVARCHAR(MAX);

    -- 初始化基础查询语句
    SET @sql = N'SELECT * FROM event WHERE 1 = 1';

    -- 动态添加名称条件：仅当参数非空且非空字符串时生效
    IF @name IS NOT NULL AND @name <> ''
    BEGIN
        SET @sql = @sql + N' AND name LIKE ''%'' + @name + ''%''';
    END

    -- 动态添加地点条件
    IF @location IS NOT NULL AND @location <> ''
    BEGIN
        SET @sql = @sql + N' AND location LIKE ''%'' + @location + ''%''';
    END

    -- 动态添加日期条件：这里假设是查询开始日期大于等于传入值，可根据需求调整为等于或范围查询
    IF @startDate IS NOT NULL
    BEGIN
        SET @sql = @sql + N' AND startDate >= @startDate';
    END

    -- 定义参数映射，确保参数化查询，避免SQL注入
    SET @params = N'@name VARCHAR(30), @location VARCHAR(20), @startDate DATETIME';

    -- 执行动态SQL
    EXEC sp_executesql @sql, @params, @name = @name, @location = @location, @startDate = @startDate;
END

关键细节说明 #

• 参数默认值：给每个参数设置= NULL的默认值，方便客户端调用时只传需要的条件
• 动态条件拼接：通过IF判断参数是否有效（非空/非空字符串），只将有效条件加入查询语句，用AND连接
• 参数化动态SQL：使用sp_executesql而非直接拼接参数值，彻底避免SQL注入风险
• SET NOCOUNT ON：抑制存储过程执行时返回的“影响行数”信息，优化客户端处理逻辑

权限配置建议 #

只需要给目标用户授予该存储过程的执行权限即可，不需要给event表的SELECT权限：

GRANT EXECUTE ON sp_searchForEvents TO [YourUserName];

额外优化建议 #

• 如果需要精准匹配（而非模糊查询），可以把LIKE ''%'' + @name + ''%''改成= @name
• 针对日期查询，如果需要范围（比如查询某天内的事件），可以添加@endDate参数，调整日期条件为AND startDate BETWEEN @startDate AND @endDate
• 若event表数据量较大，建议给name、location、startDate字段创建合适的索引，提升查询性能

内容的提问来源于stack exchange，提问作者Thomas5897