c# – 如何避免带有构造查询的CA2100

内容导读

互联网集市收集整理的这篇技术教程文章主要介绍了c# – 如何避免带有构造查询的CA2100，小编现在分享给大家，供广大互联网技能从业者学习和参考。文章包含1372字，纯文字阅读大概需要2分钟。

内容图文

在我的代码中的许多地方我正在使用StringBuilder构建一个SQL语句,并且在每种情况下都会触发CA2100：从Code Analysis查看SQL查询安全漏洞,因为SQLCommand内容来自StringBuilder而不是文字.

通常这些查询是通过一些流控制(case或if)组装的,其中查询的各个部分可能是有条件的.

我的问题是,我应该压制其中的每一个,还是有一个不同的模式来构建(有时是复杂的)内联查询,但避免警告？

触发此操作的代码示例：

System.Text.StringBuilder sb = new System.Text.StringBuilder();

sb.AppendLine("select ");
sb.AppendLine("  Q.QUOTE_TITLE as [@Description] ");
sb.AppendLine("from ");
sb.AppendLine("  QUOTE Q ");
sb.AppendLine("where ");
sb.AppendLine("  Q.QUOTE_ID = @QUOTE_ID ");
sb.AppendLine("  and Q.QUOTE_VERS = @QUOTE_VERS  ");
sb.AppendLine("for xml path('Contract') ");

SqlCommand sqlCmd = new SqlCommand(sb.ToString(), MainDBConnection);
sqlCmd.Parameters.Add("@QUOTE_ID", SqlDbType.Int).Value = QuoteID;
sqlCmd.Parameters.Add("@QUOTE_VERS", SqlDbType.SmallInt).Value = QuoteVersion;

解决方法:

你为什么一直使用StringBuilder？您可以使用更易读的字符串文字：

string sql = @"select Q.QUOTE_TITLE as [@Description]
               from QUOTE Q
               where Q.QUOTE_ID = @QUOTE_ID
               and Q.QUOTE_VERS = @QUOTE_VERS
               for xml path('Contract')"; 
SqlCommand sqlCmd = new SqlCommand(sql, MainDBConnection);
sqlCmd.Parameters.Add("@QUOTE_ID", SqlDbType.Int).Value = QuoteID;
sqlCmd.Parameters.Add("@QUOTE_VERS", SqlDbType.SmallInt).Value = QuoteVersion;

内容总结

以上是互联网集市为您收集整理的c# – 如何避免带有构造查询的CA2100全部内容，希望文章能够帮你解决c# – 如何避免带有构造查询的CA2100所遇到的程序开发问题。 如果觉得互联网集市技术教程内容还不错，欢迎将互联网集市网站推荐给程序员好友。

内容备注

版权声明：本文内容由互联网用户自发贡献，该文观点与技术仅代表作者本人。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如发现本站有涉嫌侵权/违法违规的内容， 请发送邮件至 gblab@vip.qq.com 举报，一经查实，本站将立刻删除。

内容手机端