- PR -

2003R2にてASPからデータベースへの書込

1
投稿者投稿内容
KAR
会議室デビュー日: 2007/02/19
投稿数: 11
投稿日時: 2007-02-19 13:38
新しく「WindowsServer2003R2」を導入する事となったWebプログラマです。
いろいろな情報サイトを見本に公開準備まではできたのですが…

ASPプログラムからデータベースへの「書込（INSERT,DELLなど）」を行うと
「更新可能なクエリであることが必要です」とエラー表示されます。
ですが、「読込（SELECT）」を行う場合にはエラーが表示されません。

そこで、いろいろと設定を変更してみたところ
データベースのNTFS上でのセキュリティに「IUSR_コンピュータ名」を登録し
「変更」「書込」に許可を与える事で上記のエラーは回避できる事が分かりました。
（上記からプログラム上のミスではないと判断致しました）

ここで気になるのが、この設定ではセキュリティ面が弱いのではないかという事です。
上記のセキュリティ設定では、IISを通して接続する場合
データベースの書き換えが行えてしまう為、心配しております。
もしも、他に代行する手段などございましたら
ご教授頂きますようお願い致します。
こばさん
大ベテラン
会議室デビュー日: 2004/03/17
投稿数: 147
投稿日時: 2007-02-19 14:14
>IISを通して接続する場合
>データベースの書き換えが行えてしまう為、心配しております。

それが心配でしたら、変更や書込の権限をはく奪するしかないですが・・・

IISのセキュリティを信用していないのでしたら、IISを使うことをやめるしかない。
IISは信用できるけれど、そこで動作するASPのPGが信用できないのならば、しっかりデバッグするか、信用できる人にPGを作ってもらうしかない。

今の御時世、怖いのはデータを破壊されるよりも、抜かれて匿名掲示板などに晒される方

ASPのPGの中で、SQL文を組み立てて発行しているようだと心配が尽きないですから、権限云々よりも、SELECT権限もはく奪して、全部ストアド化しましょう。
KAR
会議室デビュー日: 2007/02/19
投稿数: 11
投稿日時: 2007-02-19 15:01
ご教授頂きまして誠にありがとうございます。

> IISのセキュリティを信用していないのでしたら、IISを使うことをやめるしかない。
> ASPのPGの中で、SQL文を組み立てて発行しているようだと心配が尽きないですから
> 権限云々よりも、SELECT権限もはく奪して、全部ストアド化しましょう。

やはりそういう形でしかないのですね…。
IISのセキュリティを信頼していない訳ではなく
どの情報サイトでも、「これで安心！」という言葉がない為
（とうぜん、誰も安心を保証できる訳ないのでしょうし…）
慎重になっておりました。

プログラムでのセキュリティの向上を検討させて頂きます。
ありがとうございました。
1

スキルアップ／キャリアアップ（JOB@IT）