最开始公司写法 公共类，全公司写SQL语句 直接调用。 但是会被SQL注入。
/// <summary>
/// 执行一条SQL语句返回表
/// </summary>
/// <param name="strSql"></param>
/// <returns></returns>
public static DataSet ExcuteDataSet(string strSql)
{
Database db = DatabaseFactory.CreateDatabase("BusinessDb");
DbCommand cmd = db.GetSqlStringCommand(strSql);
try
{
DataSet dst = db.ExecuteDataSet(cmd);
return dst;
}
catch
{
return null;
}
}
改成 创建个公共类 里面 里面封装了好多返回 比如 dataset datatable 或者返回 执行结果 ExecuteNonQuery 参数化不会被注入，但是增加了开发工作量
public static Database dbase = DatabaseFactory.CreateDatabase("BusinessDb");
public static DataSet ExcuteDataSet(DbCommand cmd)
{
try
{
DataSet dst = db.ExecuteDataSet(cmd);
return dst;
}
catch
{
return null;
}
}
然后服务端 在设置参数传参数的时候（每个程序猿都要写的根据自己需创建AddInParameter个数）
DbCommand cmd = Business.Public.Public.dbase.GetSqlStringCommand("select * from basDept where IfReal=@a and ... and ...");
Business.Public.Public.dbase.AddInParameter(cmd, "@a", DbType.String, "1");
Business.Public.Public.dbase.AddInParameter(cmd, "@b", DbType.String, "2");
DataSet ds = Business.Public.Public.abc(cmd);
在后来 就提出来个公共类
public static DataSet abc(string strSql,string a=null,string b=null,string c=null,string d=null,string e=null,string f=null,string g=null)
{
DbCommand cmd = Public.dbase.GetSqlStringCommand(strSql);
Public.dbase.AddInParameter(cmd, "@a", DbType.String, a);
Public.dbase.AddInParameter(cmd, "@b", DbType.String, b);
Public.dbase.AddInParameter(cmd, "@c", DbType.String, c);
Public.dbase.AddInParameter(cmd, "@d", DbType.String, d);
Public.dbase.AddInParameter(cmd, "@e", DbType.String, e);
Public.dbase.AddInParameter(cmd, "@f", DbType.String, f);
Public.dbase.AddInParameter(cmd, "@g", DbType.String, g);
try
{
DataSet dst = db.ExecuteDataSet(cmd);
return dst;
}
catch
{
return null;
}
}
每个程序猿 需要写的是
DataSet ds = Business.Public.Public.abc("select * from basDept where IfReal=@a and ... and ..."，传入对应的值);
但是 不可能所有的参数都是DbType.String。
有可以处理的办法吗？ 写程序的 直接调用 。 还不被参数化的。
