Postgres का उपयोग कर स्तंभ नाम क्वेरी करने के लिए कैसे गतिशील/NpgSQL

Question

मैं एक फिल्टर वस्तु है कई कॉलम युक्त तालिका क्वेरी करने के लिए, और बजाय एक शर्त है इस तरह सभी स्तंभों (वैकल्पिक छानने के लिए अनुमति) को कवर लिखें:

WHERE ((:value0 IS NULL) OR (column_name0 = :value0)) AND ((:value1 IS NULL) OR (column_name1 = :value1)) AND... etc 

प्रत्येक कॉलम के लिए

।

WHERE :column_name0 = :value0 AND column_name1 = :value1 AND... etc 

जो संभव (इस जवाब given here के समान) नहीं है के रूप में कॉलम पार्स समय की आवश्यकता है: इसके बजाय, मैं आदर्श रूप में मैं एक पैरामीटर के रूप में क्षेत्र के नाम पर पारित करने में सक्षम होना चाहते हैं चाहते हैं ।

आप इसे कैसे दूर करते हैं? - जब मैं नए कॉलम जोड़े या हटाए जाते हैं तो मुझे वास्तव में एसक्यूएल को बनाए रखना नहीं है (जैसा कि आपको मेरे पहले उदाहरण में होना होगा) और मुझे लगता है कि कॉलम नामों को कमांड स्ट्रिंग में बनाना मेरे लिए खतरनाक होगा सीधे क्योंकि यह एसक्यूएल इंजेक्शन के लिए अनुमति दे सकता है।

ध्यान दें कि यह कोड एक वेब सेवा के पीछे है।

Answer 1

बस सुनिश्चित करें कि अंतिम उपयोगकर्ता कॉलम नाम सीधे प्रदान नहीं कर सकते हैं और मैन्युअल रूप से क्वेरी का निर्माण करते समय आपको सुरक्षित होना चाहिए। आप पता लगाने के लिए क्या स्तंभ नाम क्रम पर मान्य आप निम्न क्वेरी का उपयोग कर सकते हैं की जरूरत है:

SELECT column_name 
FROM information_schema.columns 
WHERE table_schema='public' AND table_name='yourtablename' 

Answer 2

मुझे लगता है कि सबसे आसान समाधान मक्खी पर SQL विवरण के निर्माण के लिए है।

यदि आप उपयोगकर्ता द्वारा प्रदत्त डेटा के पैरामीटर का उपयोग करते हैं तो एसक्यूएल इंजेक्शन संभव नहीं है।

Answer 3

उदाहरण:

NpgsqlCommand command = new NpgsqlCommand(SQL, Connection); 
     Npgsql.NpgsqlDataReader Resource = command.ExecuteReader(); 

     while (this.Resource.Read()) 
     { 
      for (int i = 0; i < this.Resource.FieldCount; i++) 
      { 
       string field = this.Resource.GetName(i).ToString(); 
      } 
     }