Question

我试图编写一个应该与数据库通信的方法，但我不确定我的方法是否正确。

parent

1）可以这样编写并使用关键字new启动每个SqlCommand吗？或者我应该做些什么：

public void dbWorkerLogin(int workerNumber) { 
    // Connection string stored in "conn"
    if (!new SqlCommand("Some Command WHERE id=" +workernumber,conn).executeReader().HasRows)
    {
       new SqlCommand("exec STORED_PROCEDURE1 " + workerNumber, conn).ExecuteNonQuery();
       new SqlCommand("exec STORED_PROCEDURE2 " + workerNumber, conn).ExecuteNonQuery();
    }
    else
    {
       new SqlCommand("exec STORED_PROCEDURE3 " + workerNumber,conn).ExecuteNonQuerry();
    }

然后回收变量＆＃39;命令＆＃39;还是这样？

SqlCommand command = new SqlCommand(null, conn);
command = ...;

2）我的程序是否有效或是否应该使用SqlCommand.Prepare（）函数将我的数据转换为正确的数据类型？例如。 workerNumber是int，但在数据库中它存储为十进制。

using(SqlCommand cmd = new SqlCommand("COMMAND", conn);

请你以某种方式总结一下使用什么，最好不要用什么？遗憾的是，我无法测试第一个代码，因为对数据库的访问受限，所以我不确定它是否可以无错误地执行。感谢您对此主题的任何帮助！

修改几个小时后，我进入了这个阶段：

using (SqlCommand cmd = new SqlCommand("STORED_PROCEDURE", conn))
{
   cmd.CommandType = CommandType.StoredProcedure;
   cmd.Parametres.Add("@id", SqlDbType.Decimal).Value = workNumber;
   cmd.Prepare();
   cmd.ExecuteNonQuery();
}

这一个：

public int getWorkerNumber(string uniqueID)
 {
    using (conn = new SqlConnection(ConfigurationManager.ConnectionStrings["dbConnect"].ConnectionString))
    {
        conn.Open();
        using (SqlCommand cmd = new SqlCommand("SELECT number FROM worker WHERE workerID = @id",conn))
         {
            cmd.Parameters.Add("@id", SqlDbType.Decimal).Value = uniqueID;
            using (SqlDataReader reader = cmd.ExecuteReader())
            {
                int answer;
                while (reader.Read())
                {
                   answer = (int)reader.GetDecimal(0);
                }
                return answer;
            }
        }
    }
}

这两种方法都是有效的（如果我在重写时没有错误:)）。我不确定这些方法中的哪一个（第一个或第二个）在稳定性方面更好，并且这种方法对SQL注入更好，更耐用。有人可以评论这个问题吗？再次感谢您的帮助！

Answer 1

1）最好在可能的情况下始终使用USING块。其中包括SqlConnection，SqlCommand，SqlReader以及实现IDisposable的其他对象。 USING阻止自动关闭和处理对象，因此您不必这样做。

2）我相信你在错误的地方使用Prepare（）方法。请查看以下StackOverflow文章以了解正确用法： PrepareMethodInstructions。

3）在dbLoginWorker()方法中，第一个查询仅用于确定是否找到行。因此，我建议将SELECT命令更改为SELECT TOP 1 column FROM table WHERE id= @workernumber，以便查询更快，更有效。

4）我不相信你的命令会受到SQL注入攻击，因为它们是完全参数化的。那个人做得很好。

5）作为一般思想，我建议阅读重构技巧。如果您创建了三个附加方法，每个SQL命令一个，并将它们命名为适当的方法，那么您的dbLoginWorker()方法可以更具可读性和可维护性，以及自我文档化。您还可以设置一种基于连接名称创建连接的方法，并且您不会有太多重复的代码。例如：

public static SqlConnection GetConnection(string connectionName)
{
    SqlConnection conn = new SqlConnection(ConfigurationManager.ConnectionStrings[connectionName].ConnectionString);
    conn.Open();
    return conn;
}

public string dbLoginWorker(int workerNumber)
{
    using (conn = GetConnection("dbConnect"))
    {
        if (CanFindWorkerNumber(conn, workerNumber))
            ExecuteProcedure1(conn);
        else
            ExecuteProcedure2(conn);
    }
}

public bool CanFindWorkerNumber (SqlConnection conn, int workerNumber)
{
    bool success = false;
    using (SqlCommand cmd = new SqlCommand("SELECT TOP 1 column FROM table WHERE id= @workernumber", conn))
    {
        cmd.Parameters.Add("@workernumber", SqlDbType.Decimal);
        cmd.Prepare();
        cmd.Parameters[0].Value = workerNumber;
        success = cmd.ExecuteScalar() != null;      
    }
    return success;
}

public void ExecuteProcedure1(SqlConnection conn)
{
    using (SqlCommand cmd = new SqlCommand("STORED_PROCEDURE1", conn))
    {
        cmd.CommandType = CommandType.StoredProcedure;
        cmd.Parameters.Add("@ID", SqlDbType.Decimal);
        cmd.Parameters.Add("@VARCHAR", SqlDbType.VarChar);
        cmd.Prepare();
        cmd.Parameters[0].Value = workerNumber;
        cmd.Parameters[1].Value = "text";
        cmd.ExecuteNonQuery();
    }
}

public void ExecuteProcedure1(SqlConnection conn)
{
    using (SqlCommand cmd = new SqlCommand("STORED_PROCEDURE1", conn))
    {
        cmd.CommandType = CommandType.StoredProcedure;
        cmd.Parameters.Add("@ID", SqlDbType.Decimal);
        cmd.Parameters.Add("@INT", SqlDbType.SmallInt).Value);
        cmd.Parameters.Add("@VARCHAR", SqlDbType.VarChar);
        cmd.Prepare();
        cmd.Parameters[0] = workerNumber;
        cmd.Parameters[1] = 1;
        cmd.Parameters[2] = "text";
        cmd.ExecuteNonQuery();
    }
}

Answer 2

你可以在一个SQL表示中实际执行此操作。现在你只是拉回一个结果集，看它是否有行，然后根据它执行不同的命令。您应该能够在一个命令中执行该操作，正确处理它和连接：

var sql = 
    @"
        IF EXISTS(Some Command WHERE id=@workernumber)
        BEGIN
            exec STORED_PROCEDURE1 @workernumber;    
            exec STORED_PROCEDURE2 @workernumber;
        END
        ELSE
            exec STORED_PROCEDURE3 @workernumber;
    ";

请注意，您不会受到SQL注入攻击，因为您不处理字符串，只处理整数。

C＃SQL，多个命令

2 个答案: