SQL Server中不存在参数化视图；真正防注入需三要素：视图封装数据范围、严格账号权限控制、调用时坚持参数化查询，缺一不可。

CREATE VIEW 本身不能防止 SQL 注入 —— 视图只是封装查询的逻辑层，不隔离用户输入，也不自动参数化。如果应用层仍用字符串拼接把用户数据塞进 SELECT * FROM safe_view WHERE name = 'xxx'，照样被注入。

真正起作用的是：视图 + 参数化查询 + 权限控制 的组合。单独写个“安全视图”没意义，关键在怎么用。

---

CREATE VIEW 能做什么、不能做什么

• ✅ 可以隐藏底层表结构、敏感字段（如 password_hash、ssn），减少攻击面
• ✅ 可以预定义过滤条件（如 WHERE status = 'active'），让应用少写易错逻辑
• ❌ 不能校验传入参数、不能阻止 name = 'admin' OR 1=1 这类拼接
• ❌ 不影响 ORDER BY、GROUP BY、表名/列名等动态部分的注入风险

常见误操作：

• 把视图当“防火墙”，以为 SELECT * FROM user_summary 就安全了
• 在视图里写 WHERE username = '$user_input'（这是语法错误，根本建不起来）
• 给应用账号授予 SELECT 整个视图权限，但忘了它背后可能跨库 JOIN 了其他敏感表

---

视图配合最小权限：限制能查什么、从哪查

只让应用账号查视图，不给底层表权限：

GRANT SELECT ON mydb.user_summary TO 'app_ro'@'10.0.1.%';
REVOKE SELECT ON mydb.users FROM 'app_ro'@'10.0.1.%';

这样即使攻击者绕过应用层参数化（比如通过调试器改请求），也查不到 users 表原始数据，更无法 DROP 或 INSERT。

注意两点：

• 视图若含 UNION 或子查询，要确认其依赖的所有基础表权限都已收回
• MySQL 中视图默认以 DEFINER 权限执行；别设成 DEFINER = root@'%'，否则等于开了后门

---

动态排序/分页字段不能放视图里，得靠应用层兜底

视图不接受参数，所以像 ORDER BY ? 或 LIMIT ?, ? 必须由应用处理。这时候容易踩坑：

• 错误：拼接 ORDER BY $_GET['sort'] → 攻击者传 sort=id; DROP TABLE logs（若数据库支持堆叠）
• 正确做法：
  • 白名单校验：in_array($sort, ['id', 'created_at', 'status'], true)
  • 强制类型转换：$limit = (int)$_GET['limit']; $offset = (int)$_GET['offset'];
  • 永远不用视图直接 SELECT * FROM v_users ORDER BY :sort —— ORDER BY 后不支持参数绑定

---

视图不是银弹。它真正有价值的场景，是和参数化查询一起用：视图收口数据范围，参数化收口数据值。漏掉任何一环，防护就断了。最容易被忽略的，其实是视图背后的 DEFINER 权限和跨表 JOIN 的隐式权限泄露。