如何使用實體框架SqlQuery來保護SQL參數？

Question

我有這種方法，應該採取未知量的ID。 我得到了這種方法幾乎完成，但它不安全，但出於顯而易見的原因，我知道我可以寫我自己的方法去除參數，但我會更舒適通過使用一些內置的方法。

這裏是方法

public static List<LocationModel> FetchCitiesByAreas(IEnumerable<string> areas) 
    { 
     using (var db = new BoligEnt()) 
     { 
      var sqlQuery = new StringBuilder(); 
      var first = true; 

      sqlQuery.Append("SELECT DISTINCT a.city AS City, a.zip AS Zip "); 
      sqlQuery.Append("FROM zip_city AS a "); 
      sqlQuery.Append("WHERE country = 1 "); 

      foreach (var d in areas) 
      { 
       if (first) 
       { 
        sqlQuery.Append("AND a.area_id = '" + d + "'"); 
        first = false; 
       } 
       else 
       { 
        sqlQuery.Append("OR a.area_id = '" + d + "'"); 
       } 

      } 

      return db.Database.SqlQuery<LocationModel>(sqlQuery.ToString()).ToList(); 
     } 
    } 

我知道它已經建立了，但正如我前面提到的我不知道ID的確切量會在

db.Database.SqlQuery<LocationModel>("SELECT * FROM table WHERE id = @p0 ;", id).ToList(); 

感謝

此功能

Answer 1

雖然我完全同意paqogomez，因爲你應該只使用LINQ做查詢時，.SqlQuery必須採取一個參數數組的能力。你可以改變你的陳述如下所示：

var sqlQuery = new StringBuilder(); 

sqlQuery.Append("SELECT DISTINCT a.city AS City, a.zip AS Zip "); 
sqlQuery.Append("FROM zip_city AS a "); 
sqlQuery.Append("WHERE country = 1 "); 

for (int i = 0; i < areas.Count; i++) 
{ 
    if (i == 0) 
    { 
     sqlQuery.Append("AND (a.area_id = @p" + i.ToString()); 
    } 
    else 
    { 
     sqlQuery.Append(" OR a.area_id = @p" + i.ToString()); 
    } 
} 
sqlQuery.Append(")"); 

var results = db.Database.SqlQuery<LocationModel>(sqlQuery.ToString(), areas.ToArray()).ToList(); 

我在查詢中添加了缺少的括號，以正確地過濾掉OR結果。我也假設areas就像是一個List，或者至少可以輕鬆從中獲得數量。

Answer 2

爲什麼不使用Linq？

var locations = (from zip in db.zip_city 
       where areas.Contains(zip.area_id) && zip.Country == 1 
       select new LocationModel{ 
        City = zip.City, 
        Zip = zip.Zip 
        }) 
      .Distinct() 
      .ToList(); 

如果你仍然想參數化查詢，則需要使用EntityCommand

還要注意的是，因爲你還沒有把括號圍繞你OR報表查詢將會失敗。

我建議構建你這樣的SQL：

string sqlQuery = 
    @"SELECT DISTINCT a.city AS City, a.zip AS Zip 
     FROM zip_city AS a 
     WHERE country = 1 AND (1=0 " 

    for (int i = 0; i < areas.Count; i++) 
    { 
     sqlQuery.Append("OR a.area_id = @d" + i.ToString() + " "); 
    } 
    sqlQuery.Append(")");