Oracle 的 C# 参数化查询 - 严重且危险的错误！

Question

这绝对是咆哮。我不敢相信自己的眼睛，如果这是 C# 中的一个真正的错误，我也不敢相信在我之前没有人会发现这一点，所以我将它发布给开发人员社区的其他人，告诉我我做错了什么。我确信这个问题会让我说“DOH！”并用我的手掌重重地敲打着我的头——但不管怎样……

为了测试，我创建了一个表Test_1，脚本如下：

CREATE TABLE TEST_1 (
  COLUMN1 NUMBER(12) NOT NULL,
  COLUMN2 VARCHAR2(20),
  COLUMN3 NUMBER(12))
TABLESPACE USERS
STORAGE (
  INITIAL 64K
  MAXEXTENTS UNLIMITED
)
LOGGING;

现在我执行以下代码：

var conn = new OracleConnection("connectionblahblah");
conn.Open();
var cmd = conn.CreateCommand();
cmd.CommandText = 
  "insert into Test_1(Column1, Column2, Column3) " +
  "values(:Column1, :Column2, :Column3)";
var p = cmd.Parameters;
p.Add("Column1", 1);
p.Add("Column3", null);
p.Add("Column2", "record 1");
cmd.ExecuteNonQuery();

哇！我收到 ORA-01722 错误 - “无效号码”！怎么了？ Column1 是数字，值为 1，这很好； Column2 是一个字符串，Column3 是一个可以为空的列，所以应该不会造成任何麻烦...

现在坐下来看看这个...这里的问题是Column3 和Column2 是按照它们添加到OracleParameterCollection 的顺序转置的。切换它们，然后！有效！

当然，这将我引向下一个明显的实验......让我们更改代码块以添加参数，如下所示：

p.Add("Foo", 1);
p.Add("Bar", "record 1");
p.Add("hahahahahahaha", null);

你认为这会奏效吗？猜猜看 - 它做了！

我坐在这里完全惊呆了。我不敢相信我所看到的，我同样不敢相信在我之前没有人发现这种行为（除非我不知道如何正确使用 Google）。

这不仅令人烦恼，而且非常危险。如果我转置了相同数据类型的两列会发生什么？我什至不会出错 - 我只是将错误的数据插入到错误的列中，而且一点也不聪明。

除了注意不要以错误的顺序添加参数之外，是否有人对解决方法有任何想法？

Answer 1

这是您在 column2 之前添加 column3 的错字吗？

因为冒号语法表示绑定变量——名称与 PLSQL 中的 BIND 变量无关，它们按提交顺序填充。这意味着您将尝试将 column2 值设置为“记录 1”，这将解释无效数字错误...

您目前拥有：

p.Add("Column1", 1);
p.Add("Column3", null);
p.Add("Column2", "record 1");

...看看这个改动是否能解决您的问题：

p.Add("Column1", 1);
p.Add("Column2", "record 1");
p.Add("Column3", null);

让命名参数起作用？

我必须请有更多 C# 经验的人来解释如何让命名参数工作。但我很高兴我们确认冒号似乎被解释为 Oracle BIND 变量。

Answer 2

这不是错误，而是在 Oracle ODP.Net 文档中明确提及。在 OracleCommand 类中，参数默认由位置绑定。如果要按名称绑定，请显式设置属性cmd.BindByName = true;。

参考 Oracle 文档。 http://download.oracle.com/docs/cd/E11882_01/win.112/e12249/OracleCommandClass.htm#i997666

Answer 3

p.Add(":Column1", 1);
p.Add(":Column2", "record 1");
p.Add(":Column3", null);

//注意我已经添加：到oracle数据客户端识别的参数名称