Utilisation de modèles XML pour améliorer la sécurité

Microsoft a mis en oeuvre l’accès aux bases de données via
des URL pour les développeurs Web. Avec cette approche,
ceux-ci peuvent accéder facilement aux informations des
bases de données sans utiliser ADO. Toutefois, le recours à 
une URL contenant une requête SQL présente un risque car
vous exposez toutes les informations de la base de données.
Pour éviter les problèmes de sécurité, vous pouvez recourir
à  un modèle. Il s’agit d’un document XML contenant la requête
SQL. Par exemple, le listing 7 présente le modèle
Query1.xml pour la requête . En employant un modèle,
vous exposez uniquement
le nom de celui-ci, au
lieu du nom de votre base
de données et de ses colonnes.

Avant que SQL Server
2000 puisse exécuter le modèle,
vous devez effectuer
un paramétrage supplémentaire
au niveau de IIS.
Ouvrez l’utilitaire IIS Virtual
Directory Management for
SQL Server, puis sélectionnez le répertoire virtuel configuré
pour l’accès XML et affichez ses propriétés. Dans la boîte de
dialogue XML Query Properties, sélectionnez l’onglet Virtual
Names et cliquez sur New. Dans la boîte de dialogue Virtual
Name Configuration qui apparaît, vous devez mapper le
répertoire virtuel Template avec un chemin physique. Dans
la zone de texte Virtual name, tapez Templates. Dans la zone
de liste déroulante Type, sélectionnez template. Au niveau de
la zone de texte Path, entrez le chemin de l’emplacement
choisi pour les fichiers de modèle, puis cliquez sur Save.
Ensuite, placez le modèle Query1.xml dans le dossier spécifié.
Pour accéder à  la base de données via le modèle, tapez
l’URL suivante dans votre navigateur :

http://localhost/xmlquery
/templates/query1.xml/

Le modèle du listing 7 exécute une requête simple, mais
vous pouvez tout à  fait créer des modèles exécutant des
requêtes plus complexes. Par exemple, il est possible de
créer un modèle recherchant les titres correspondant à  une
chaîne spécifique. En spécifiant la chaîne en question dans
l’URL et non dans le modèle, vous pouvez utiliser le modèle
pour différentes requêtes. La chaîne de recherche spécifiée
dans la chaîne de requête est passée en tant que paramètre
au modèle.