存储过程本身不自动提高安全性，关键在于切断直连表的权限路径；必须收回用户对底层表的INSERT/UPDATE/DELETE权限，仅授予EXECUTE权限，并确保调用链路完整、输入经清洗。
存储过程本身不自动提高安全性，关键在于你是否用它来**切断直连表的权限路径**。只要用户仍有对底层表的 INSERT/UPDATE/DELETE 权限，哪怕写了再复杂的存储过程，也形同虚设。
SQL Server 中必须禁用表级写权限才能生效
很多人以为“用了存储过程就安全了”，结果 DBA 给用户开了 db_datawriter 角色，等于把所有表的写权限全放行。此时调用 usp_UpdateOrderStatus 和直接执行 UPDATE orders SET status = 'SHIPPED' 没区别。
- 正确做法：收回用户对
orders、inventory等表的UPDATE权限，只授予对其所需存储过程的EXECUTE权限 - 验证方式：用该用户账号登录后执行
UPDATE orders SET status = 'TEST' WHERE id = 1，应报错Msg 229, Level 14, State 5: The UPDATE permission was denied on the object 'orders' - 注意：
EXECUTE AS OWNER或EXECUTE AS CALLER会影响权限上下文，生产环境建议统一用EXECUTE AS OWNER并确保 owner 是 db_owner
MySQL 存储过程中 SIGNAL 必须配 DECLARE HANDLER 才可控
只写 SIGNAL SQLSTATE '45000' SET MESSAGE_TEXT = '库存不足' 不够——应用层收到的是通用错误码，无法区分是校验失败还是网络超时。真正起作用的是 handler 的声明位置和类型。
-
DECLARE EXIT HANDLER FOR SQLSTATE '45000'必须在BEGIN ... END块最开头，且不能跨嵌套块；放在中间或子块里，上层调用时 handler 不生效 - handler 内部别只写
RESIGNAL，要附带业务标识：RESIGNAL SET MESSAGE_TEXT = CONCAT('订单校验失败[', in_order_id, ']：库存不足'); - 若 handler 类型误选
CONTINUE，触发 SIGNAL 后后续语句仍会执行，可能造成部分更新 + 隐蔽错误
PostgreSQL 的 EXCEPTION 块必须捕获具体 SQLSTATE
写 EXCEPTION WHEN OTHERS THEN 是危险操作。它会吞掉所有错误（包括磁盘满、锁超时），掩盖真实问题，且无法针对性回滚。
- 唯一约束冲突对应
SQLSTATE '23505'，外键失败是'23503'，空值违例是'23502'—— 必须按业务场景显式列出 - 在插入订单前预占库存的场景中，应写：
EXCEPTION WHEN SQLSTATE '23505' THEN ROLLBACK; RAISE EXCEPTION '库存预占失败：SKU % 已被其他事务锁定', in_sku; - 不要在 EXCEPTION 块里做复杂查询或调用函数，避免二次出错导致事务状态混乱
最容易被忽略的一点：存储过程的安全性依赖于**调用链路的完整性**。如果应用层拼接了参数传入存储过程（比如 CALL usp_ProcessOrder(@user_input)），而没做输入清洗，那 @user_input 仍可能被用于构造恶意子查询——此时安全防线其实在应用层，不在存储过程内部。
