Параметрированный динамический SQL-запрос

Question

У меня есть список ключевых слов, которые я храню в списке.

Для выборки записей из таблицы, я использую следующий запрос:

sqlBuilder.Append("SELECT name, memberid FROM members WHERE"); 
StringBuilder sqlBuilder = new StringBuilder(); 
foreach (string item in keywords) 
      { 
      sqlBuilder.AppendFormat(" LOWER(Name) LIKE '%{0}%' AND", item); 
      } 
string sql = sqlBuilder.ToString(); 

Как вы могли заметить, мой запрос уязвим к SQL-инъекции, таким образом, я хочу использовать параметры с помощью SqlCommand(). Я попытался следующие, но по-прежнему не работает:

foreach (string item in keywords) 
      {  
       sqlBuilder.AppendFormat(" LOWER(Name) LIKE '%' + @searchitem + '%' AND", item); 
       SqlCommand cmd = new SqlCommand(sqlBuilder.ToString()); 
       cmd.Parameters.AddWithValue("@searchitem",item); 
      } 

Где я мог бы сделать ошибку, или, вернее, как я должен есть по этому поводу?

Answer 1

Вы делаете кое-что здесь не так:

• Вы отдаете все параметры еще такое же имя @searchitem. Это не сработает. Параметры должны иметь уникальные имена.
• Вы создаете новый SqlCommand для каждого элемента. Это не сработает. Создайте SqlCommand один раз в начале цикла, а затем установите CommandText, как только вы закончите создание SQL.
• Ваш SQL заканчивается AND, что является недопустимым синтаксисом.

Улучшение предложения (не является неправильным само по себе, но не лучшая практика либо):

• Как Фредерик предложил, обычный способ поставить % маркеров в параметре, а не делать конкатенации внутри SQL.
• Если вы явно не используете учетную запись для вашей базы данных, сравнение должно быть нечувствительным к регистру. Таким образом, вам может не понадобиться LOWER.

Пример кода:

SqlCommand cmd = new SqlCommand(); 
StringBuilder sqlBuilder = new StringBuilder(); 
sqlBuilder.Append("SELECT name, memberid FROM members "); 

var i = 1; 
foreach (string item in keywords) 
{ 
    sqlBuilder.Append(i == 1 ? " WHERE " : " AND "); 
    var paramName = "@searchitem" + i.ToString(); 
    sqlBuilder.AppendFormat(" Name LIKE {0} ", paramName); 
    cmd.Parameters.AddWithValue(paramName, "%" + item + "%"); 

    i++; 
} 
cmd.CommandText = sqlBuilder.ToString(); 

Answer 2

Не ставьте подстановочные символы в строке запроса, но добавить их в свой параметре-значение:

sql = "SELECT name FROM members WHERE Name LIKE @p_name"; 
... 
cmd.Parameters.AddWithValue("@p_name", "%" + item + "%"); 

При добавлении подстановочных символов внутри вашей строки запроса, параметр будет сбежавшим, но подстановочные символы не будут; что приведет к запросу, который отправляется в БД, который выглядит следующим образом:

SELECT name FROM members WHERE Name LIKE %'somename'% 

, что явно не так.

Рядом с этим вы создаете SqlCommand в цикле, который не является необходимым. Кроме того, вы создаете параметры с уникальным именем, так как вы добавляете их в цикл, и параметр всегда имеет одно и то же имя. Вы также должны удалить последнее ключевое слово И, когда вы выходите из цикла.