使用通用字典向表中插入值

Question

编码平台：ASP.NET 2.0 WebForms 使用 C# 和 MySQL 作为后端

背景

我目前正在修复网站的错误。
其中一张“registrations”表有 80 列。

插入/更新通过简单的 sql 语句完成，无需任何参数化查询。

问题

在注册时，用户可以改变许多参数，从而产生至少 15 种 INSERT 查询。我的问题是如何确保所有字段都插入正确的值。

所以，我创建了一个

Dictionary<string, string> fields = new Dictionary<string, string>();

fields.Add("LoginEmail", MySQL.SingleQuoteSQL(txtLoginEmail.Text));
fields.Add("Password", MySQL.SingleQuoteSQL(txtLoginPassword.Text));

fields.Add("ContactName", MySQL.SingleQuoteSQL(txtContactName.Text));
fields.Add("City", MySQL.SingleQuoteSQL(txtCity.Text));

我的想法是做一个像这样的简单插入查询

INSERT INTO registrations("all keys as comma separated string") VALUES ("all keys as comma separated string") 

我的问题是

1. Dictionary 是实现这一点的最佳数据结构吗？
2. 通用字典对键的排序是否会改变查询时的键值索引？
3. 将所有键提取到一个数组中并将对应值提取到另一个匹配数组的最佳方法。

另外，还有哪些更好的方法？

P.S：我正在维护代码并制作一个实体类，将列映射到属性并存储值不是这个选项。

Answer 1

 string list<T>(IEnumerable<T> enumerable)
 {
   List<T> list = new List<T>(enumerable);
   return string.Join(",", list.ToArray());
 } 

//...
string sql= String.Format("INSERT INTO registrations({0}) VALUES({1})",
                list(fields.Keys),
                list(fields.Values));

Answer 2

我知道描述说您没有使用参数化 sql，但恕我直言，使用参数化 sql 是防止 sql 注入的更好方法。将一些 SQL 放入 txtLoginEmail 并提交对您的情况造成严重破坏的表单根本不需要太多努力。

私有静态字符串 CreateInsertSql(字符串表, IDictionary parameterMap) { var keys = parameterMap.Keys.ToList(); // ToList() 使用 LINQ 扩展方法，因为 order 不是 // 保证 IDictionary 的每个实现 var sql = new StringBuilder("INSERT INTO ").Append(table).Append("("); for (var i = 0; i private static void SqlInsert(string table, IDictionary parameterMap) { 使用 (var connection = AcquireConnection()) { 连接.打开（）； 使用 (var command = connection.CreateCommand()) { command.Connection = 连接； command.CommandText = CreateInsertSql(table, parameterMap); foreach（parameterMap 中的 var 对） command.Parameters.Add(pair.Key, pair.Value); command.ExecuteNonQuery(); } } }

调用类似于：

SqlInsert("注册", new Dictionary() { { "LoginEmail", txtLoginEmail.Text }, { "密码", txtLoginPassword.Text }, { "ContactName", txtContactName.Text }, { 城市", txtCity.Text } });

Answer 3

我认为在这种情况下字典结构还可以，但是

按原样构建和执行字符串允许 SQL 注入攻击

xkcd.com/327/ 妈妈的剥削

我正在使用 .NET 3.5，但这个想法也可以应用于 .NET 2.0

如果 MySQL.SingleQuoteSQL 做的比它的名字建议的更多，请告诉我

否则将值添加为参数以防止这种情况发生

var values = new Dictionary<string, string>() {
  {"LoginEmail", "LoginEmail"},
  {"Password", "Password"},
  {"ContactName", "ContactName"},
  {"City", "City"}
};

System.Func<string, string> key = p => String.Concat("?", p);

var statement = string.Format("INSERT INTO registrations ({0}) VALUES ({1})", 
  string.Join(",", values.Values.ToArray()),
  string.Join(",", values.Keys.Select(key).ToArray())
);

//"INSERT INTO registrations (LoginEmail,Password,ContactName,City) VALUES (?LoginEmail,?Password,?ContactName,?City)"  

foreach(var p in values) {
  command.Parameters.Add(key(p.Key), p.Value, SqlDbType.Text);
}

command.Prepare();
command.ExecuteNonQuery();

They may be other better classes for .NET mysql, apologies if so - I haven't used mysql in .NET