将SQL字符串与代码分开

Question

我正在一个古老的大型WinForms项目中工作，该项目包含很多Win表单库。

每种形式在方法中都使用硬编码的sql命令。 有时，相同的SQL字符串会重复，因此我应该在表单代码中研究“相似”字符串，然后对其进行修改。

我了解该体系结构不是很漂亮，但是目前我们无法执行大型体系结构修改。 我认为可以做一些“小步骤”来改善UI和BD逻辑之间的分离。

第一步，例如 我认为以某种方式将sql字符串与代码“分开”。 如何使用资源，一个特殊的类，一个XML文件来实现这一目标？

变体I-使用命名资源

' ancient variant '
_SqlPeriod = String.Format("SELECT * FROM DBO.GP_PERIOD WHERE PERIOD = {0} ORDER BY LABEL", Me._Period)

' a better way (?) ... '
_SqlPeriod = String.Format(My.Resources.ResourceManager.GetString("SelectAPeriod"), Me._Period)

Answer 1

如果要将整个内容重写为存储过程，.NET代码将如下所示：

 public List<User> listUsers(Guid pPersonTypeId, string pFirstName, string pLastName)
        {
            List<User> list = new List<User>();
            List<SqlParameter> pa = new List<SqlParameter>();
                       pa.Add(SqlHelper.createSqlParameter("@ID_PERSONTYPE", SqlDbType.UniqueIdentifier, pPersonTypeId != Guid.Empty ? (Guid?)pPersonTypeId : null));
            pa.Add(SqlHelper.createSqlParameter("@FNAME", SqlDbType.NVarChar, String.IsNullOrEmpty(pFirstName) ? null : pFirstName));
            pa.Add(SqlHelper.createSqlParameter("@LNAME", SqlDbType.NVarChar, String.IsNullOrEmpty(pLastName) ? null : pLastName));

            try
            {
                DataSet ds = SqlHelper.ExecuteDataset("proc_USER_list", pa.ToArray());
                if (ds.Tables.Count == 0)
                    return list;
                foreach (DataRow r in ds.Tables[0].Rows)
                {
                    User u = new User();
                    //populate your User object with data from the DataRow
                    ...
                    list.Add(u);
                }
                return list;
            }
            catch (Exception ex)
            {
                throw (new BaseException(ex));
            }
        }

您当然需要实现SQLHelper和SQLParameter类，这非常简单。

如果这不是您现在想采用的方式，我建议您执行以下操作：创建一个XML文档（每个数据访问类一个），在其中存储查询，并编写一个非常简单的包装器类以基于查询来获取查询代码或ID。 XML可能看起来像这样：

<query code="listUsers"> select * from USER where NAME = {0} </query>

更进一步，我想您可以将方法名称用作查询代码，甚至可以使包装器使用反射来查看正在从中调用的方法，并使用方法名称在XML中查找查询。

使用资源类存储查询甚至更加简单，但是我不确定在那里是否有任何好处，至少使用XML可以使您有所分离。

Answer 2

通常，您最关心的是使用String.Format来构成SQL查询，因为如果您未明确验证参数，则很容易发生Sql Injection Attacks 。 因此，分离这些字符串并没有改善（如果将它们在运行时解析，将它们移入xml文件将是安全的灾难）。

为避免这种情况，您需要创建SqlCommand实例并以编程方式设置参数（请检查MSDN-如何：防止ASP.NET中的SQL注入 ），或使用完全不同的方法并切换到ORM框架。

由于如果您以前从未使用过ORM，可能会花费大量时间，所以我相信您会选择第一个选项。 在那种情况下，如上所述简单地切换到Sql参数将是一个改进（即使保留了硬编码的sql字符串）。

为避免重复，您应考虑将所有数据库访问调用移至一个单独的项目（数据访问层，DAL）中。 如果要以较小的步骤启动，则可以考虑（用于启动）将SQL字符串的创建委派给其他层，例如：

_SqlPeriod = QueryStrings.GetPeriodsById(Me._Period) ' <- returns an sql string

这将使您可以将参数验证移到一个通用项目中。 稍后，您将要避免将sql字符串完全传递到UI层，而只是获取数据：

_ActualData = Dal.GetPeriodsById(Me._Period) ' <- gets the actual list of periods

Answer 3

我去上课。 首先，您只需将文字sql语句替换为getter调用即可集中化SQL访问。 然后，您可以使用该类的初始化代码在适当的地方（本地路径，日期，用户，其他环境因素）微调语句。 稍后，您可以重构获取器，以在第二次调用时返回准备好的语句，或者执行其他一些奇特的事情。

资源将只给您一个字符串列表。 .xml文件需要大量结构规划和支持代码，然后才能利用XML功能。

Answer 4

我将使用存储过程，而不是在代码，XML或资源中使用SQL。

您可以在此了解使用SP的一些优缺点。 将SQL保留在存储的Procs与代码中的利弊是什么

实际上，在这个话题中，反对SP的人获得了最多的选票，但不要让你失望:)。

我看到的最大优点之一是，只要使用相同的参数并且数据集包含相同的列，就可以在不更改客户端代码的情况下更改和测试SP。 另一个是在创建查询时会根据相关性检查查询，并且在更改表结构之前可以很容易地确定某个SP是否使用了表或列。 当查询存储在资源中或嵌入到代码中时，这并不容易