C# .Net 中的参数化 SQL答案

【问题标题】：Parameterized SQL in C# .NetC# .Net 中的参数化 SQL
【发布时间】：2012-11-23 18:33:54
【问题描述】：

如果我有这样的代码：

public T ExecuteQuery<T>(Func<IDataReader, T> getResult, string query, params IDataParameter[] parameters)
{
        using (SqlConnection conn = new SqlConnection(this.DefaultConnectionString))
        {
            conn.Open();

            // Declare the parameter in the query string
            using (SqlCommand command = new SqlCommand(query, conn))
            {
                foreach (var parameter in parameters)
                {
                    command.Parameters.Add(parameter);
                }

                command.Prepare();

                using (SqlDataReader dr = command.ExecuteReader())
                {
                    return getResult(dr);
                }
            }
        }
    }

    public string GetMySpecId(string dataId)
    {
        return ExecuteQuery(
            dr =>
            {
                if (dr.Read())
                {
                    return dr[0].ToString();
                }

                return string.Empty;
            },
            @"select ""specId"" from ""MyTable"" where ""dataId"" = :dataId",
            new SqlParameter("dataId", dataId));
    }
}

如何保证

new SqlParameter("dataId", dataId));

一段代码是在传递一个文本还是一个整数？还有@"select..." 是如何像我熟悉的那样实际工作的：

 select id from mytable where dataId = @dataID;

【问题讨论】：

@"select" 似乎只是文字字符串的一部分
这个参数化是否正确？

标签： c# .net sql .net-3.5 ado.net

【解决方案1】：

我不确定参数化是否正确。看看下面修改过的代码，它将确保正确添加参数并简化对ExecuteQuery 的调用的构造（当然在我看来）。这很简单。 select 语句被正确参数化，因为它使用@varname 语法：

"select \"specId\" from \"MyTable\" where \"dataId\" = @dataId"

此外，由于AddWithValue 方法，参数输入正确：

command.Parameters.AddWithValue(parameter.Key, parameter.Value);

最后，使用字典发送参数使得从任何结构构造参数变得非常简单，无论是参数值，甚至是对象。

public T ExecuteQuery<T>(Func<IDataReader, T> getResult, string query, Dictionary<string, object> parameters)
{
    using (SqlConnection conn = new SqlConnection(this.DefaultConnectionString))
    {
        conn.Open();

        // Declare the parameter in the query string
        using (SqlCommand command = new SqlCommand(query, conn))
        {
            foreach (var parameter in parameters)
            {
                command.Parameters.AddWithValue(parameter.Key, parameter.Value);
            }

            command.Prepare();

            using (SqlDataReader dr = command.ExecuteReader())
            {
                return getResult(dr);
            }
        }
    }
}

public string GetMySpecId(string dataId)
{
    return ExecuteQuery(
        dr =>
        {
            if (dr.Read())
            {
                return dr[0].ToString();
            }

            return string.Empty;
        },
        "select \"specId\" from \"MyTable\" where \"dataId\" = @dataId",
        new Dictionary<string, object>() { { "@dataId", dataId } });
}

附： - 示例中字符串之前的@ 只是C# 中使用的转义序列。

【讨论】：