C#三層架構,如何顯示SQL陳述句，需要驗證SQL陳述句是否正確。-有解無憂

三層架構里，我想在執行SQL陳述句之前，先顯示出該陳述句是否正確。

public bool Addhuiyuan(Users user)
        {
            bool result;
            DBHelper db = new DBHelper();
            SqlDataReader reader = db.ExecReader("select * from Users where Usersname='"  + user.Usersname+"'");
            if (reader.Read())
            {
                reader.Close();
                 result = false;
            }
            else
            {
                reader.Close();
                db.ExecNonQuery("insert into Users(Usersname,Password,Name,Idcard,phone,cph,Status) values('" + user.Usersname + "','" + user.Password + "','" + user.Name + "','" + user.Idcard + "','" + user.phone + "','"+ user.cph +"','" + user.Status + "')");

                result = true;
            }


            return result;
    請問：執行插入SQL陳述句之前，如何將insert into ....... 陳述句顯示在網頁上。方面檢查SQL陳述句哪里錯誤了。  我是菜鳥，請大神們回復詳細些。謝謝大家

        }

uj5u.com熱心網友回復：

首先用變數接收這個字串拼接的sql
然后除錯，到監控里看這個變數。或者直接滑鼠移到這個變數。

至于怎么除錯，你自己百度。。。。。。。。

uj5u.com熱心網友回復：

咨詢一下：是否這樣 SQL陳述句給　　testsql 變數。
但問題是輸出這個變數。我這里回傳是個布林值的。

uj5u.com熱心網友回復：

彈出顯示Response.Write？

uj5u.com熱心網友回復：

testsql 這個變數，如何傳遞出去？  我這里回傳是個布林值。
public bool Addhuiyuan(Users user)
        {
            string testsql;
            bool result;
            DBHelper db = new DBHelper();
            SqlDataReader reader = db.ExecReader("select * from Users where Usersname='"  + user.Usersname+"'");
            if (reader.Read())
            {
                reader.Close();
                 result = false;
            }
            else
            {
                reader.Close();
                testsql = "insert into Users(Usersname,Password,Name,Idcard,phone,cph,Status) values('" + user.Usersname + "','" + user.Password + "','" + user.Name + "','" + user.Idcard + "','" + user.phone + "','" + user.cph + "','" + user.Status + "')";
                db.ExecNonQuery("insert into Users(Usersname,Password,Name,Idcard,phone,cph,Status) values('" + user.Usersname + "','" + user.Password + "','" + user.Name + "','" + user.Idcard + "','" + user.phone + "','"+ user.cph +"','" + user.Status + "')");

                result = true;
            }


            return result;


        }

這邊是接受引數給你看看

uj5u.com熱心網友回復：

我變成字串SQL陳述句， testsql 變數如何傳遞出去？

uj5u.com熱心網友回復：

try catch可否？

uj5u.com熱心網友回復：

把查關陳述句，拷貝到sqlserver查詢視窗運行，正確后再拷貝回程式里，可省去很多麻煩

uj5u.com熱心網友回復：

思路有問題。
1. 這種sql，可以用代碼生成器生成。
如果你覺得人家的不好用，不想學，你自己寫個sql生成器也是可以的。

2. 不能拼接sql, 應該引數化：



insert into tableName(c1, c2, c3) values(@c1,@c2,@c3)

用上了sql生成器了，還擔心sql有問題嗎？
代碼里還要人家幫你檢查sql有問題，這個檢測的程序就已經是在浪費時間影響執行效率了。

uj5u.com熱心網友回復：

自己寫一套 SQLHelper，或者使用成熟的資料庫引擎庫，都可以。不要自己花精力寫這張千篇一律的什么DAL代碼，你手寫了一大堆，結果只有sql陳述句（字串輸入變數值）不太一樣，還動不動要全體修改介面和功能，得不償失。所以不要盡量自己寫DAL，應該呼叫一個成熟的、通用的DAL庫。

uj5u.com熱心網友回復：

給你舉一個例子：

public List<Entities.Staff> 篩選部門中符合權限的人員資訊(QueryStaff Command)

{

    var name = (string)this.Command["DepartmentName"];

    var id = this.Command.GetValue<string>("Id");

    var enterprise = this.Enterprise;

    using (var conn = MyDBConnection.ConnectDB(enterprise))

    {

        var sql = "select a.* from Staff a inner join StandBy s on a.Id=s.StaffId inner join Department d on s.DepartmentId=d.Id where 1=1";

        if (!string.IsNullOrEmpty(id))

            sql += $" and d.Id=N'{id.Replace("'", "''")}'";

        if (!string.IsNullOrEmpty(name))

            sql += $" and d.Name=N'{name.Replace("'", "''")}'";

        var staff = conn.CreateCommand(sql)

            .ExecuteList(x => new Entities.Staff

            {

                Id = (string)x["Id"],

                Name = x.GetValue<string>("Name"),

                AvatarUrl = x.GetValue<string>("AvatarUrl"),

                ShenFenZheng = x.GetValue<string>("ShenFenZheng"),

                PinYinZiTou = x.GetValue<string>("PinYin")

            });

        return staff;

    }

}

在BLL中直接呼叫自己寫的SQLHelper方法，你可以直接產生和除錯千奇百怪的sql字串，而不是寫什么DAL。

要知道BLL功能千奇百怪，所以當然是要在BLL中直接呼叫一套通用的跨專案的DAL才是最為方便的。

uj5u.com熱心網友回復：

參考 10 樓以專業開發人員為伍的回復:

給你舉一個例子：

public List<Entities.Staff> 篩選部門中符合權限的人員資訊(QueryStaff Command)

{

    var name = (string)this.Command["DepartmentName"];

    var id = this.Command.GetValue<string>("Id");

    var enterprise = this.Enterprise;

    using (var conn = MyDBConnection.ConnectDB(enterprise))

    {

        var sql = "select a.* from Staff a inner join StandBy s on a.Id=s.StaffId inner join Department d on s.DepartmentId=d.Id where 1=1";

        if (!string.IsNullOrEmpty(id))

            sql += $" and d.Id=N'{id.Replace("'", "''")}'";

        if (!string.IsNullOrEmpty(name))

            sql += $" and d.Name=N'{name.Replace("'", "''")}'";

        var staff = conn.CreateCommand(sql)

            .ExecuteList(x => new Entities.Staff

            {

                Id = (string)x["Id"],

                Name = x.GetValue<string>("Name"),

                AvatarUrl = x.GetValue<string>("AvatarUrl"),

                ShenFenZheng = x.GetValue<string>("ShenFenZheng"),

                PinYinZiTou = x.GetValue<string>("PinYin")

            });

        return staff;

    }

}

P哥，這個沒有引數化吧，不擔心有注入問題？

uj5u.com熱心網友回復：

參考 11 樓吉普賽的歌的回復:

Quote: 參考 10 樓以專業開發人員為伍的回復:

給你舉一個例子：

public List<Entities.Staff> 篩選部門中符合權限的人員資訊(QueryStaff Command)

{

    var name = (string)this.Command["DepartmentName"];

    var id = this.Command.GetValue<string>("Id");

    var enterprise = this.Enterprise;

    using (var conn = MyDBConnection.ConnectDB(enterprise))

    {

        var sql = "select a.* from Staff a inner join StandBy s on a.Id=s.StaffId inner join Department d on s.DepartmentId=d.Id where 1=1";

        if (!string.IsNullOrEmpty(id))

            sql += $" and d.Id=N'{id.Replace("'", "''")}'";

        if (!string.IsNullOrEmpty(name))

            sql += $" and d.Name=N'{name.Replace("'", "''")}'";

        var staff = conn.CreateCommand(sql)

            .ExecuteList(x => new Entities.Staff

            {

                Id = (string)x["Id"],

                Name = x.GetValue<string>("Name"),

                AvatarUrl = x.GetValue<string>("AvatarUrl"),

                ShenFenZheng = x.GetValue<string>("ShenFenZheng"),

                PinYinZiTou = x.GetValue<string>("PinYin")

            });

        return staff;

    }

}

P哥，這個沒有引數化吧，不擔心有注入問題？

P哥可能有一步sql=sql.sp("'","''"); 沒有寫，寫了就不怕注入了。

uj5u.com熱心網友回復：

參考 12 樓好奇都是要學的的回復:

Quote: 參考 11 樓吉普賽的歌的回復:

Quote: 參考 10 樓以專業開發人員為伍的回復:

給你舉一個例子：

public List<Entities.Staff> 篩選部門中符合權限的人員資訊(QueryStaff Command)

{

    var name = (string)this.Command["DepartmentName"];

    var id = this.Command.GetValue<string>("Id");

    var enterprise = this.Enterprise;

    using (var conn = MyDBConnection.ConnectDB(enterprise))

    {

        var sql = "select a.* from Staff a inner join StandBy s on a.Id=s.StaffId inner join Department d on s.DepartmentId=d.Id where 1=1";

        if (!string.IsNullOrEmpty(id))

            sql += $" and d.Id=N'{id.Replace("'", "''")}'";

        if (!string.IsNullOrEmpty(name))

            sql += $" and d.Name=N'{name.Replace("'", "''")}'";

        var staff = conn.CreateCommand(sql)

            .ExecuteList(x => new Entities.Staff

            {

                Id = (string)x["Id"],

                Name = x.GetValue<string>("Name"),

                AvatarUrl = x.GetValue<string>("AvatarUrl"),

                ShenFenZheng = x.GetValue<string>("ShenFenZheng"),

                PinYinZiTou = x.GetValue<string>("PinYin")

            });

        return staff;

    }

}

P哥，這個沒有引數化吧，不擔心有注入問題？

P哥可能有一步sql=sql.sp("'","''"); 沒有寫，寫了就不怕注入了。

寫了一樣有問題。不引數化，一是可能注入，另外，sql的執行計劃得不到重用，對DB服務器有額外的壓力。

uj5u.com熱心網友回復：

參考 13 樓吉普賽的歌的回復:

Quote: 參考 12 樓好奇都是要學的的回復:

Quote: 參考 11 樓吉普賽的歌的回復:

Quote: 參考 10 樓以專業開發人員為伍的回復:

給你舉一個例子：

public List<Entities.Staff> 篩選部門中符合權限的人員資訊(QueryStaff Command)

{

    var name = (string)this.Command["DepartmentName"];

    var id = this.Command.GetValue<string>("Id");

    var enterprise = this.Enterprise;

    using (var conn = MyDBConnection.ConnectDB(enterprise))

    {

        var sql = "select a.* from Staff a inner join StandBy s on a.Id=s.StaffId inner join Department d on s.DepartmentId=d.Id where 1=1";

        if (!string.IsNullOrEmpty(id))

            sql += $" and d.Id=N'{id.Replace("'", "''")}'";

        if (!string.IsNullOrEmpty(name))

            sql += $" and d.Name=N'{name.Replace("'", "''")}'";

        var staff = conn.CreateCommand(sql)

            .ExecuteList(x => new Entities.Staff

            {

                Id = (string)x["Id"],

                Name = x.GetValue<string>("Name"),

                AvatarUrl = x.GetValue<string>("AvatarUrl"),

                ShenFenZheng = x.GetValue<string>("ShenFenZheng"),

                PinYinZiTou = x.GetValue<string>("PinYin")

            });

        return staff;

    }

}

P哥，這個沒有引數化吧，不擔心有注入問題？

P哥可能有一步sql=sql.sp("'","''"); 沒有寫，寫了就不怕注入了。

寫了一樣有問題。不引數化，一是可能注入，另外，sql的執行計劃得不到重用，對DB服務器有額外的壓力。

寫了后應該沒有，如果考慮DB壓力最好全用存盤程序。

uj5u.com熱心網友回復：

參考 14 樓好奇都是要學的的回復:

Quote: 參考 13 樓吉普賽的歌的回復:

Quote: 參考 12 樓好奇都是要學的的回復:

Quote: 參考 11 樓吉普賽的歌的回復:

Quote: 參考 10 樓以專業開發人員為伍的回復:

給你舉一個例子：

public List<Entities.Staff> 篩選部門中符合權限的人員資訊(QueryStaff Command)

{

    var name = (string)this.Command["DepartmentName"];

    var id = this.Command.GetValue<string>("Id");

    var enterprise = this.Enterprise;

    using (var conn = MyDBConnection.ConnectDB(enterprise))

    {

        var sql = "select a.* from Staff a inner join StandBy s on a.Id=s.StaffId inner join Department d on s.DepartmentId=d.Id where 1=1";

        if (!string.IsNullOrEmpty(id))

            sql += $" and d.Id=N'{id.Replace("'", "''")}'";

        if (!string.IsNullOrEmpty(name))

            sql += $" and d.Name=N'{name.Replace("'", "''")}'";

        var staff = conn.CreateCommand(sql)

            .ExecuteList(x => new Entities.Staff

            {

                Id = (string)x["Id"],

                Name = x.GetValue<string>("Name"),

                AvatarUrl = x.GetValue<string>("AvatarUrl"),

                ShenFenZheng = x.GetValue<string>("ShenFenZheng"),

                PinYinZiTou = x.GetValue<string>("PinYin")

            });

        return staff;

    }

}

P哥，這個沒有引數化吧，不擔心有注入問題？

P哥可能有一步sql=sql.sp("'","''"); 沒有寫，寫了就不怕注入了。

寫了一樣有問題。不引數化，一是可能注入，另外，sql的執行計劃得不到重用，對DB服務器有額外的壓力。

寫了后應該沒有，如果考慮DB壓力最好全用存盤程序。

與存盤程序沒有關系，引數化不用存盤程序一樣可以實作。

uj5u.com熱心網友回復：

我一般沒有想過把sql展示出來，因為給誰看呢，陳述句是自己寫，測驗沒問題，不放心就加try catch，你非要顯示sql，可以回傳一個string陣列，第一個存bool型別即結果，第二個存string即sql，前臺獲取時可以試試data.result[0],data.result[1]的方式試試看，我沒測驗過你可以除錯看看。

uj5u.com熱心網友回復：

如果你用 ORM 中間件的話那么都是自帶SQL輸出的。自己寫SQLHELPER 也未嘗不可，看目前的狀況可以以后再說。推薦sqlsugar

uj5u.com熱心網友回復：

Response.Write("<script languge ='javascript'> alert(); </script>");

uj5u.com熱心網友回復：

根據db.ExecNonQuery() 執行結果1或者0再給result 賦值，你到好直接默認result回傳true，即使前臺添加會員失敗也會提示添加成功，差評

uj5u.com熱心網友回復：

我都是把SQL陳述句列印出來，然后復制到SQL資料庫查詢，如果能出來說明正常。

SQL1="select * from table where id=1 order by id desc"

Response.Write (SQL1);

uj5u.com熱心網友回復：

感覺這么復雜啊 ..
直接引數化就行了
SQLHELPER要封裝下

uj5u.com熱心網友回復：

參考 11 樓吉普賽的歌的回復:

Quote: 參考 10 樓以專業開發人員為伍的回復:

給你舉一個例子：

public List<Entities.Staff> 篩選部門中符合權限的人員資訊(QueryStaff Command)

{

    var name = (string)this.Command["DepartmentName"];

    var id = this.Command.GetValue<string>("Id");

    var enterprise = this.Enterprise;

    using (var conn = MyDBConnection.ConnectDB(enterprise))

    {

        var sql = "select a.* from Staff a inner join StandBy s on a.Id=s.StaffId inner join Department d on s.DepartmentId=d.Id where 1=1";

        if (!string.IsNullOrEmpty(id))

            sql += $" and d.Id=N'{id.Replace("'", "''")}'";

        if (!string.IsNullOrEmpty(name))

            sql += $" and d.Name=N'{name.Replace("'", "''")}'";

        var staff = conn.CreateCommand(sql)

            .ExecuteList(x => new Entities.Staff

            {

                Id = (string)x["Id"],

                Name = x.GetValue<string>("Name"),

                AvatarUrl = x.GetValue<string>("AvatarUrl"),

                ShenFenZheng = x.GetValue<string>("ShenFenZheng"),

                PinYinZiTou = x.GetValue<string>("PinYin")

            });

        return staff;

    }

}

P哥，這個沒有引數化吧，不擔心有注入問題？

看到Replace("'", "''")了嗎，還有N'{｝'，注入那是不可能的，解決注入不是只有引數化

轉載請註明出處，本文鏈接：https://www.uj5u.com/net/43149.html

標籤：ASP.NET

上一篇：大佬們，有沒有更好思路去每5條資料開一條執行緒更新資料？

下一篇：獲取outllok郵件會議時能指定獲取其它的郵箱會議嗎？