[英]Using OR Statement in MySQL Parameter
我正在尝试在我的C#应用程序中构造MySQL查询,我想知道是否可以在MySQL参数中使用OR语句。
我有一个名单列表,我想检查并查看数据库中已存在的名称。 这是一个简短的例子
List<string> names = new List<string> {"adam", "bob", "cathy"}; //actual list is much longer
MySqlConnection connection = getAndOpenConnection();
MySqlCommand command = connection.CreateCommand();
command.CommandText = "SELECT * FROM Employees WHERE name = @names";
command.Parameters.Add(new MySqlParameters("@names", String.Format("names = {0}", String.Join(names, " or name = ")))); //is this line legal?
我最初的想法是以这种方式构造命令文本:
command.CommandText = String.Format("SELECT * FROM Employees WHERE name = '{0}'", String.Join(names, "' or name = '"))
代码将为我提供我想要的正确命令文本,但我真的想防止SQL注入。
有人可以帮我解决一下如何正确构建MySqlCommand吗?
不容易,没有。 你需要进行一个IN
查询,这是一个很难处理参数化(你真的应该这样做)。 基本上,您有两种选择:
后者更容易; 与“小巧玲珑”,这只是:
connection.Query("SELECT * FROM Employees WHERE name in @names", new { names })
.ToList();
(这将是一个List<dynamic>
;如果你有一个与列匹配的Employee
类,你可以使用connection.Query<Employee>(...).ToList()
来获取List<Employee>
。
不过,前者更像(简单版本):
var sb = new StringBuilder("SELECT * FROM Employees WHERE name=@name0");
cmd.Parameters.AddWithValue("name0", names[0]);
for(int i = 1; i < names.Count ; i++) {
sb.Append(" or name=@name").Append(i);
cmd.Parameters.AddWithValue("name" + i, names[i]);
}
cmd.CommandText = sb.ToString();
还有其他一些方法可以做到这一点:
switch(names.Count)
{
case 0: cmd.CommandText = "SELECT * FROM Employees"; break;
case 1:
cmd.CommandText = "SELECT * FROM Employees WHERE name=@name";
cmd.Parameters.AddWithValue("name", names[0]);
break;
default:
var sb = new StringBuilder(
"SELECT * FROM Employees WHERE name IN (@name0")
cmd.Parameters.AddWithValue("name0", names[0]);
for(int i = 1;i<names.Count;i++) {
sb.Append(",@name").Append(i);
cmd.Parameters.AddWithValue("name" + i, names[i]);
}
cmd.CommandText = sb.Append(")").ToString();
break;
}
声明:本站的技术帖子网页,遵循CC BY-SA 4.0协议,如果您需要转载,请注明本站网址或者原文地址。任何问题请咨询:yoyou2525@163.com.