针对Oracle的C#参数化查询 - 严重且危险的错误!

Question

这是绝对的咆哮.我不敢相信自己的眼睛,我不相信在我之前没有人会发现这个,如果它是C#中的一个真正的错误,所以我把它推出给其他开发者社区告诉我我做错了什么.我确定这个问题会让我说"DOH!" 用我的手掌非常用力地拍打我的头 - 但无论如何......

为了测试,我创建了一个表Test_1,脚本如下:

CREATE TABLE TEST_1 (
  COLUMN1 NUMBER(12) NOT NULL,
  COLUMN2 VARCHAR2(20),
  COLUMN3 NUMBER(12))
TABLESPACE USERS
STORAGE (
  INITIAL 64K
  MAXEXTENTS UNLIMITED
)
LOGGING;

现在我执行以下代码:

var conn = new OracleConnection("connectionblahblah");
conn.Open();
var cmd = conn.CreateCommand();
cmd.CommandText = 
  "insert into Test_1(Column1, Column2, Column3) " +
  "values(:Column1, :Column2, :Column3)";
var p = cmd.Parameters;
p.Add("Column1", 1);
p.Add("Column3", null);
p.Add("Column2", "record 1");
cmd.ExecuteNonQuery();

哇!我收到ORA-01722错误 - "无效号码"!但是怎么了？ Column1是数字,值为1,所以很好; Column2是一个字符串,Column3是一个可以为空的列,所以不应该造成任何麻烦......

现在请坐下来......这里的问题是,Column3并Column2按照它们被添加到的顺序进行转换OracleParameterCollection.切换它们,并预先!有用!

当然,这导致我进入下一个明显的实验......让我们改变用于添加参数的代码块,如下所示:

p.Add("Foo", 1);
p.Add("Bar", "record 1");
p.Add("hahahahahahaha", null);

你觉得那会有用吗？好吧猜猜 - 它确实如此!

我坐在这里绝对惊呆了.我无法相信我所看到的,我同样无法相信在我之前没有人发现过这种行为(除非我不知道如何正确使用Google).

这不仅仅是一种烦恼 - 它非常危险.如果我转换了相同数据类型的两列,会发生什么？我甚至不会有错误 - 我只是将错误的数据插入到错误的列中,并且没有更明智.

有没有人对解决方法有任何想法 - 除了小心不要以错误的顺序添加参数？

Answer 1

这不是一个错误,但在Oracle ODP.Net文档中明确提到.在OracleCommand类中,参数按位置绑定为默认值.如果要按名称绑定,请cmd.BindByName = true;显式设置该属性.

参考Oracle文档. http://download.oracle.com/docs/cd/E11882_01/win.112/e12249/OracleCommandClass.htm#i997666

Answer 2

您在第 2 列之前添加了第 3 列是错别字吗？

因为冒号语法表示绑定变量——名称与 PLSQL 中的 BIND 变量无关，它们按提交顺序填充。这意味着您将尝试将 column2 值设置为“记录 1”，这将解释无效数字错误...

您目前拥有：

p.Add("Column1", 1);
p.Add("Column3", null);
p.Add("Column2", "record 1");

...看看这个改动是否能解决你的问题：

p.Add("Column1", 1);
p.Add("Column2", "record 1");
p.Add("Column3", null);

让命名参数起作用？

我必须请有更多 C# 经验的人来解释如何使命名参数工作。但我很高兴我们确认冒号似乎被解释为 Oracle BIND 变量。