ef mysql 参数化_关于EF中直接执行sql语句的参数化问题

某天 , 在review项目中代码的时候, 发现有哥们直接通过 Database.ExecuteSqlCommand("select * from order_info where  company like '%abc%' ")的方式与数据库查询, 私下问其是否知道这个方法还有一个带有params object[] parameters参数重载, 对方爽快的回答:"知道啊 ,只是每次都要写一大堆的SqlParameter[] 定义, 实在是太过麻烦了,特别是有的时候查询参数太多了...." .细想一下, 确实麻烦得很,感觉又回到了直接写sqlhelper的时代了.不过转念一想, 这个方法很容易改进, 于是便有了这篇随笔,希望能给有需要的朋友一些提示.

１．目标，我们希望调用者能像字符串格式化，类似   string.Formart(＂select  * from order_info where company like {0}＂，"abc")　一样去方便使用，而不再关心是否是否需要参数化，但同时数据库在执行的时候，自动转化为参数化的语句．

２．略加思考：首先我们利用 string.Formart 自动将sqlCommand 格式化为带参数的一个字符串, 类似 ＂select  * from order_info where company like  @p0＂, 同时自动创建查询参数@p0= abc,即可.

３．于是，便有了如下方法片段

private Tuple ProcessSqlCommand(string sqlCommand, params object[] param)

{var tempParamKeyValDic = param.Select((item, i) => new KeyValuePair("@p" +i, item))

.ToDictionary(k=> k.Key, v =>v.Value);var tempSqlCommand = string.Format(sqlCommand, tempParamKeyValDic.Keys.ToArray());var tempParams = tempParamKeyValDic.Select(t => newSqlParameter(t.Key, t.Value)).ToArray();returnTuple.Create(tempSqlCommand, tempParams);

}

４．　同时对外提供两个类似的ExecSqlCommand　和　SqlQuery 方法即可.

public int ExecSqlCommand(string sqlCommand, params object[] param)

{if (param == null || param.Length == 0)

{returnContext.Database.ExecuteSqlCommand(sqlCommand);

}var temp =ProcessSqlCommand(sqlCommand, param);returnContext.Database.ExecuteSqlCommand(temp.Item1, temp.Item2);

}public List SqlQuery(string sqlCommand, params object[] param)

{if (param == null || param.Length == 0)

{return Context.Database.SqlQuery(sqlCommand).ToList();

}var temp =ProcessSqlCommand(sqlCommand, param);return Context.Database.SqlQuery(temp.Item1, temp.Item2).ToList();

}

5. 客户端在调用的时候,直接使用类似如下模式

var data=repository.SqlQuery(“select  * from order_info where company like  {0}＂，"abc”);

后记:

1. 事关数据安全无小事, 任何侥幸心理都应该避免;

2. 当有人在埋怨程序不好写, 或者框架不好用的时候 , 需要换位思考,并极力改进;

3. 大家在谈论项目框架或系统架构的时候,并不是时时刻刻都需要关注类似高大上的高并发架构图, 有的时候还得压住浮躁的心态关注眼前的蹩脚之处.