我应该如何构建一个使用内联SQL从数据库生成数据的应用程序？

Question

我目前有一个数据访问层,它也使用Web服务公开一些API.

API调用

[WebMethod]
public List<GlobalStat> GetStats()
{
    List<GlobalStat> Stats = new List<GlobalStat>();

    string sql = @"
       A huge multi-line SQL query
    ";

    try
    {
        string ConString = Constants.connString;
        con = new SqlConnection(ConString);

        cmd = new SqlCommand(sql, con);
        con.Open();
        dr = cmd.ExecuteReader();

        while (dr.Read())
        {
            GlobalStat stat = new GlobalStat();
            stat.Key = dr[0].ToString();
            stat.Value = int.Parse(dr[1].ToString());

            Stats.Add(stat);
        }

    }
    catch (Exception x)
    {

        Response.Write(x);
    }

    return Stats;
}

我有点担心SQL的编写方式.

有很多东西硬编码到这里:数据库名称,表名等.

要解决这个问题,我是否只是在一个地方创建一个包含所有SQL命令的单独的全局文件,或者是否有更好的范例？我不是在应用程序内部创建SQL表,但这些表驻留在不同的预构建数据库中.

我应该如何构建一个使用内联SQL从数据库生成数据的应用程序？

Answer 1

恕我直言,正确的方法是调用存储过程.在您的C#代码中,您只需引用存储过程并传递正确类型的参数.在C#代码中构建的临时SQL为许多事情打开了大门 - 其中最重要的是SQL注入和计划缓存的低效使用.此外,如果不重新编译和重新部署应用程序,您将很难重构查询.这对于某些更改(例如,当存储过程的接口发生更改时)是必需的,但对于许多其他典型的查询更改而言不应该是必需的.

Answer 2

您提出了几个问题，您向我们展示的代码又提出了更多问题。您可能需要考虑的事情：

• 尝试将以数据库为中心的活动限制在它们自己的类中。GlobalStats除了处理从数据库中提取数据并将其变成实际对象的实际类之外，没有其他人需要知道如何返回对象的行列表。没有人。如果其他人确实知道，那么您的类没有使用信息隐藏（因为我们使用的是面向对象的语言，所以您应该这样做）。

• 如果对象实现了IDisposable，那么您应该用一个try {} finally {}块来包装它，或者更好的是，用一个语句来包装它using（请参阅下面的第二个示例）。

• 您的连接字符串应该只能由实际需要它的类访问（分离您的关注点的一部分）。也许有一个包含该信息的 DataAccess 基类？

  public abstract class DataAccess 
  {
      protected const string ConnectionString = "YourConnectionStringHere";
  }
  

然后您的存储库可以从此类继承，并且您没有全局静态常量导致您的代码不必要地耦合。

• 您的代码现在的方式（如果您的所有代码确实都是您向我们展示的示例），那么您可能遇到了SQL 注入问题。这值得立即修复（我将在下面向您展示一个示例）。

  1. 使用参数化查询（如果您确实必须在 C# 中使用 SQL）。
  2. 分离您的关注点（从什么时候开始 Web API 调用需要关注数据库？
  3. 不要捕获您无法处理的异常。

这是我如何编写您正在编写的内容（请注意，此代码并不是真正要使用的，它仅用于说明目的）：

[WebMethod]
public List<GlobalStat> GetStats()
{
    GlobalStatsRepository repository = new GlobalStatsRepository();
    List<GlobalStat> stats = repository.GetStats();
    return stats;
}

数据访问层

public class GlobalStatsRepository
{
    public List<GlobalStat> GetStats()
    {

         string sql = @"SELECT * from GlobalStats"; //no, not a good practice

        var stats = new List<GlobalStat>();

        try
        {
            string ConString = Constants.connString;
            conn = new SqlConnection(ConString);

            cmd = new SqlCommand(sql, conn);
            conn.Open();
            dr = cmd.ExecuteReader();

            while (dr.Read())
            {
                GlobalStat stat = new GlobalStat();
                stat.Key = dr[0].ToString();
                stat.Value = int.Parse(dr[1].ToString());

                stats.Add(stat);
            }

        }
        catch (SQLDataReaderException ex)
        {
            logger.Log(ex);
            throw;
        }
    return stats;
    }
}

参数化查询示例

public List<GlobalStat> GetStatsById(int id)
{
    var stats = new List<GlobalStat>();

    string sql = @"SELECT * from GlobalStats WHERE Id = @Id";
    using (SqlConnection conn = new SqlConnection(ConString))
    {
         conn.Open();
         using (SQLCommand command = new SqlCommand(sql, conn))
         {         
             command.Parameters.Add(new SqlParameter("Id", id));
             SqlDataReader reader = command.ExecuteReader();
             while (reader.Read())
             {
                  GlobalStat stat = new GlobalStat();
                  stat.Key = dr[0].ToString();
                  stat.Value = int.Parse(dr[1].ToString());

                  stats.Add(stat);
             }
         }
     }
     return stats;
}