SelectQueryBuilder類允許在你的代碼中建立復(fù)雜的SQL語句和命令。它也能幫助于避免SQL注入式攻擊。
介紹
承認(rèn)，并且我們都這樣作過，也認(rèn)為下面的方式是的和的方式。就是我們建立大量的字符串包含所有的Where子句，然后提交到數(shù)據(jù)庫去執(zhí)行它。來斷的加語句到我們的SQL字符串，極有可能會帶來Bugs和SQL注入式攻擊的危險。并且也使得我們的代碼更難看也不易于管理。
這種情況必須停止，但如何停止?有人說使用存儲過程。但它并沒有真正的解決這個問題。你還得動態(tài)建立你的SQL語句，只不過有問題移到數(shù)據(jù)庫層面上了，依然有SQL注入的危險。除了這個“解決方案”外，可能還有非常多的選擇供你考慮，但它們都會帶來一個基本的挑戰(zhàn):讓SQL語句工作的更好、更安全。
當(dāng)我從我的在線DAL(數(shù)據(jù)訪問層)生成工具h(yuǎn)ttp://www.code-engine.com/建立C#模板時，我想提供一個易于使用的方法來定制查詢數(shù)據(jù)。我不再想使用“字符串查詢”(我以前開發(fā)的模板)來查詢數(shù)據(jù)。我厭煩這種凌亂的方式來得到數(shù)據(jù)。我想用一種清晰的、直覺的、靈活的、簡單的方式從表中選擇數(shù)據(jù)，聯(lián)接一些別的語句，使用大量的Where子句，用一些列來分組數(shù)據(jù)，返回前X個記錄。
我開始開發(fā)所想的有這種嚴(yán)密功能的SelectQueryBuilder類。它暴露了許多屬性和方法，你能很容易地在Select語句中使用它們。一旦調(diào)用BuildQuery()和BuildCommand()方法，它能提供一種更好的舊的“字符串查詢“或可以使用命令參數(shù)的DbCommand對象來查詢數(shù)據(jù)。
使用代碼
舊的方式的代碼
下面的代碼闡明了以前建立SELECT語句的方法，它使用許多類變量來說明應(yīng)該使用那種連接操作(WHERE，或者OR),同時也給你的數(shù)據(jù)庫帶來了可能的SQL注入式攻擊。
string statement = "SELECT " + maxRecords + " * FROM Customers ";
string whereConcatenator = "WHERE ";
if (companyNameTextBox.Text.Length > 0)
{
statement += whereConcatenator;
statement += "CompanyName like '" + companyNameTextBox.Text + "%' ";
whereConcatenator = "AND ";
}
if (cityTextBox.Text.Length > 0)
{
statement += whereConcatenator;
statement += "City like '" + cityTextBox.Text + "%' ";
whereConcatenator = "AND ";
}
if (countryComboBox.SelectedItem != null)
{
statement += whereConcatenator;
statement += "Country = '" + countryComboBox.SelectedItem + "' ";
whereConcatenator = "AND ";
}
我相信上面的代碼對你來說是非常熟悉的，你可能在過去的十多年一直是這樣使用的，或者你曾經(jīng)編碼過數(shù)據(jù)庫驅(qū)動的搜索功能。讓我告訴你這種思想:這種查詢你的數(shù)據(jù)庫的方法不能再使用了，它是難看的也是不安全的。
介紹
承認(rèn)，并且我們都這樣作過，也認(rèn)為下面的方式是的和的方式。就是我們建立大量的字符串包含所有的Where子句，然后提交到數(shù)據(jù)庫去執(zhí)行它。來斷的加語句到我們的SQL字符串，極有可能會帶來Bugs和SQL注入式攻擊的危險。并且也使得我們的代碼更難看也不易于管理。
這種情況必須停止，但如何停止?有人說使用存儲過程。但它并沒有真正的解決這個問題。你還得動態(tài)建立你的SQL語句，只不過有問題移到數(shù)據(jù)庫層面上了，依然有SQL注入的危險。除了這個“解決方案”外，可能還有非常多的選擇供你考慮，但它們都會帶來一個基本的挑戰(zhàn):讓SQL語句工作的更好、更安全。
當(dāng)我從我的在線DAL(數(shù)據(jù)訪問層)生成工具h(yuǎn)ttp://www.code-engine.com/建立C#模板時，我想提供一個易于使用的方法來定制查詢數(shù)據(jù)。我不再想使用“字符串查詢”(我以前開發(fā)的模板)來查詢數(shù)據(jù)。我厭煩這種凌亂的方式來得到數(shù)據(jù)。我想用一種清晰的、直覺的、靈活的、簡單的方式從表中選擇數(shù)據(jù)，聯(lián)接一些別的語句，使用大量的Where子句，用一些列來分組數(shù)據(jù)，返回前X個記錄。
我開始開發(fā)所想的有這種嚴(yán)密功能的SelectQueryBuilder類。它暴露了許多屬性和方法，你能很容易地在Select語句中使用它們。一旦調(diào)用BuildQuery()和BuildCommand()方法，它能提供一種更好的舊的“字符串查詢“或可以使用命令參數(shù)的DbCommand對象來查詢數(shù)據(jù)。
使用代碼
舊的方式的代碼
下面的代碼闡明了以前建立SELECT語句的方法，它使用許多類變量來說明應(yīng)該使用那種連接操作(WHERE，或者OR),同時也給你的數(shù)據(jù)庫帶來了可能的SQL注入式攻擊。
string statement = "SELECT " + maxRecords + " * FROM Customers ";
string whereConcatenator = "WHERE ";
if (companyNameTextBox.Text.Length > 0)
{
statement += whereConcatenator;
statement += "CompanyName like '" + companyNameTextBox.Text + "%' ";
whereConcatenator = "AND ";
}
if (cityTextBox.Text.Length > 0)
{
statement += whereConcatenator;
statement += "City like '" + cityTextBox.Text + "%' ";
whereConcatenator = "AND ";
}
if (countryComboBox.SelectedItem != null)
{
statement += whereConcatenator;
statement += "Country = '" + countryComboBox.SelectedItem + "' ";
whereConcatenator = "AND ";
}
我相信上面的代碼對你來說是非常熟悉的，你可能在過去的十多年一直是這樣使用的，或者你曾經(jīng)編碼過數(shù)據(jù)庫驅(qū)動的搜索功能。讓我告訴你這種思想:這種查詢你的數(shù)據(jù)庫的方法不能再使用了，它是難看的也是不安全的。