C# 동적 SQL에서 열 이름이 매개 변수가 될 수 있나요?

C#에서 열 이름 매개 변수가 있는 동적 SQL

SqlCommand 쿼리에 열 이름을 매개 변수로 포함할 수 있나요? 대답은 일반적으로 "아니요"입니다. 그 이유는 연결이 열릴 때와 사용자가 매개 변수를 설정하기 전에 데이터베이스 엔진이 쿼리 계획을 처리하기 때문입니다. 그러나 원하는 결과를 얻기 위해 활용할 수 있는 몇 가지 기술이 있습니다.

이 시나리오를 고려해 보겠습니다.

SqlCommand command = new SqlCommand("SELECT @slot FROM Users WHERE name=@name; ");
prikaz.Parameters.AddWithValue("name", name);
prikaz.Parameters.AddWithValue("slot", slot);

이 코드는 실패합니다. 대신, 런타임에 쿼리를 동적으로 작성하여 주입 공격을 방지하기 위해 입력의 적절한 화이트리스트를 보장해야 합니다.

// Verify that "slot" is an approved/expected value
SqlCommand command = new SqlCommand("SELECT [" + slot + "] FROM Users WHERE name=@name; ")
prikaz.Parameters.AddWithValue("name", name);

이 접근 방식에서는 @name이 매개변수화된 상태로 유지되어 쿼리를 안전하고 효율적으로 실행할 수 있습니다. .

위 내용은 C# 동적 SQL에서 열 이름이 매개 변수가 될 수 있나요?의 상세 내용입니다. 자세한 내용은 PHP 중국어 웹사이트의 기타 관련 기사를 참조하세요!