无法使用特定位置 c# 运行 oracle 命令

Question

我需要运行这个查询：

"Select column_name from all_tab_columns 
where table_name=''" + tableName + " owner='" + ownerName + "'";

这是在 C# 中将其作为 OracleCommand 运行。它没有用。我尝试了许多变体，包括不同的变量，但是当我将 table_name 放在 where 子句中时，它永远不会起作用。也不是因为我没有使用LIKE。

Answer 1

格式正确的命令文本必须如下所示：

var query = String.Format(@"
    SELECT 
        column_name 
    FROM all_tab_columns 
    WHERE table_name='{0}'
    AND owner='{1}'", tableName, ownerName);

如果tableName 和ownerName 是用户输入，这很容易受到注入攻击。在这种情况下，请改用参数化命令：

var query = @"
    SELECT 
        column_name 
    FROM all_tab_columns 
    WHERE table_name=:tablename'
    AND owner=:ownername";

然后使用OracleParameter instances 分配值。