使用 Dapper 更新动态列名的内容

14 浏览
0 Comments

使用 Dapper 更新动态列名的内容

我需要进行一次更新，但列名是动态的。

代码片段：

using (var cn = Connection)
{
    var sql = @"UPDATE Teste
        SET @columnName = @parameter,
        DT_PROCESSAMENTO = @vDtProcessamento                                        
        WHERE ID = @ID";
    var resultado = cn.Execute(sql, new
    {
        columnName,
        parameter,
        ID
    });
}

是否可以将列名作为参数传递？

这是我编写的代码，但它不起作用。没有异常，但更新不起作用。

0

3 答案

0 Comments

文章标题：使用动态列名更新Dapper的方法及解决SQL注入问题

在使用Dapper进行更新操作时，有时需要使用动态列名进行更新。下面给出了一种使用String.Format的方法来实现这个目的：

var columnName = "Name";
var sql = String.Format(@"UPDATE Teste
                 SET {0} =                                        
                 WHERE ID = ", columnName);

然而，这种方法存在SQL注入的风险。为了避免这种风险，最好在使用列名之前检查列名是否真的存在于数据库表中。尽管SQL注入是一个真正的问题，但我希望真正的开发者不会通过用户输入来获取列名。

在这种情况下，任何字符串参数都可能被劫持，即使查询本身并不需要动态生成。虽然SQL注入是一个真正的问题，但希望真正的开发者不会通过用户输入来获取列名。

对于开发者来说，最好的做法是在构建SQL查询语句时，避免使用动态列名。这种方法存在潜在的安全风险，并且不符合良好的编程实践。

为了解决这个问题，我们可以使用参数化查询来代替动态列名。参数化查询可以防止SQL注入攻击，并提高代码的安全性。下面是使用Dapper和参数化查询的示例代码：

var columnName = "Name";
var sql = @"UPDATE Teste
            SET " + columnName + " = @Value
            WHERE ID = @ID";
var parameters = new { Value = "NewValue", ID = 1 };
connection.Execute(sql, parameters);

通过使用参数化查询，我们将动态列名替换为了参数。这样可以确保查询的安全性，并且不会受到SQL注入的影响。

总结起来，为了避免SQL注入攻击，开发者在构建SQL查询语句时应尽量避免使用动态列名。如果确实需要使用动态列名，应使用参数化查询来代替动态列名，并确保查询的安全性。这样可以提高代码的安全性和可靠性。

0
0 Comments

使用Dapper时更新动态列名的原因是，有时候我们需要根据用户的输入来动态地更新数据库中的某些列。为了实现这个功能，我们需要动态构建SQL语句，然后使用EXEC()函数在SQL中执行，或者在C#代码中使用string.Format()或StringBuilder来构建SQL语句。然而，需要注意的是，这样做可能会被一些人视为“野蛮”的做法。因为通过这种方式，我们无法保证用户提供的列名是有效的，也无法对输入参数进行类型安全检查。为了解决这个问题，可以使用QueryFirst插件，它提供了一种更好的方法来处理动态列名。请注意，QueryFirst插件由我编写。

0
0 Comments

Dapper是一个轻量级的ORM（对象关系映射）工具，它可以简化数据库操作。在使用Dapper更新数据时，有时我们希望根据动态的列名进行更新，而不是固定的列名。然而，Dapper并不直接支持这种方式，因为列名不能作为变量使用。

解决这个问题的方法是使用动态SQL。下面是一个使用动态列名进行更新的示例代码：

using (var cn = Connection)
{
    var sql = $@"UPDATE Teste
                 SET {columnName} = ,
                 DT_PROCESSAMENTO =                                         
                 WHERE ID = ";
    var resultado = cn.Execute(sql, new
    {
        parameter,
        ID
    });
}

在上面的代码片段中，我们使用了`$`符号来在字符串中插入变量，同时使用`@`符号来在字符串中使用换行符。这样做比使用`String.Format`更加简洁和清晰。

然而，需要注意的是，这种方法存在SQL注入的风险。如果`columnName`的值以分号结束，可能会导致SQL注入攻击。因此，在使用动态列名时，我们应该确保`columnName`的值是可信的，最好是通过自己的业务层内部提供，而不是直接由用户输入。

如果需要过滤特殊字符，可以使用一些方法来确保数据的安全性。例如，可以使用一个简单的过滤方法来去除任何特殊字符。具体的方法可以参考这个链接：stackoverflow.com/a/1120248/3276634。

总之，通过使用动态SQL和Dapper，我们可以实现根据动态列名进行更新的需求。然而，我们需要注意SQL注入的风险，确保动态列名的值是可信的，以保证数据的安全性。

0