动态 Linq 创建

Question

我正在重写一个查询，该查询是为响应用户输入文本字段而创建的，以提供一些针对 SQL 注入攻击的保护。

SELECT DISTINCT (FileNameID) FROM SurNames WHERE Surname IN
('Jones','Smith','Armitage') 
AND FileNameID IN ( SELECT DISTINCT (FileNameID) FROM FirstNames WHERE FirstName 
IN ('John','William') )

在此过程中最多可以有 3 个其他表。 参数列表最多可以包含 50-100 个条目，因此构建参数化查询既繁琐又繁琐。

我正在尝试创建一个 Linq 查询，它应该负责参数化并提供我需要的保护。

这给了我我需要的东西

  var surnameValues = new[] { "Jones","Smith","Armitage" };
  var firstnameValues = new[] { "John","William" };

  var result = (from sn in db.Surnames
                from fn in db.FirstNames
                where surnameValues.Contains(sn.Surname) &&
                firstnameValues.Contains(fn.FirstName)
                select fn.FileNameID).Distinct().ToArray(); 

我现在需要一种方法来根据用户是否在姓氏或名字文本输入框中选择/输入值来动态创建它？

任何指点将不胜感激

谢谢 罗杰

Answer 1

您可以将所有逻辑组合到查询中；

var surnameValues = new[] { "Jones","Smith","Armitage" };
var firstnameValues = null;

// Set these two variables to handle null values and use an empty array instead
var surnameCheck= surnameValues ?? new string[0];
var firstnameCheck= firstnameValus ?? new string[0];

var result = (from sn in db.Surnames
            from fn in db.FirstNames
            where
            (!surnameCheck.Any() || surnameCheck.Contains(sn.Surname)) &&
            (!firstnameCheck.Any() || firstnameCheck.Contains(fn.FirstName))
            select fn.FileNameID).Distinct().ToArray(); 

您的查询似乎在 Surnames 表和 firstNames 表之间没有连接条件？

您可以动态构建查询（正如您所做的那样，我使用了 SelectMany 交叉连接）

var query=db.Surnames.SelectMany(sn=>db.FirstNames.Select (fn => new {fn=fn,sn=sn}));
if (surnameValues!=null && surnameValues.Any()) query=query.Where(x=>surnameValues.Contains(x.sn.Surname));
if (firstnameValues !=null && firstnameValues.Any()) query=query.Where(x=>firstnameValues.Contains(x.fn.FirstName));
var result=query.Select(x=>x.fn.FileNameID).Distinct();