Comment utiliser en toute sécurité la clause IN de Dapper avec des valeurs générées dynamiquement ?

Requête avec la clause IN à l'aide de Dapper ORM

Lorsque vous travaillez avec l'ORM Dapper, il est courant de rencontrer des requêtes qui incluent une clause IN. Cependant, si les valeurs de la clause IN sont générées dynamiquement à partir de la logique métier, vous pourriez vous demander quelle est la meilleure approche pour construire une telle requête.

Une méthode qui a été utilisée est la concaténation de chaînes, mais cela peut devenir fastidieux. et sujet aux vulnérabilités d’injection SQL. Pour éviter ces problèmes, Dapper fournit une technique avancée de mappage de paramètres qui vous permet de spécifier un paramètre pour la clause IN.

Solution

Dapper prend directement en charge l'utilisation d'un paramètre pour la clause IN. Pour utiliser cette fonctionnalité, vous pouvez suivre ces étapes :

1. Définissez votre requête avec un espace réservé pour le paramètre de clause IN. Par exemple :

string sql = "SELECT * FROM SomeTable WHERE id IN @ids";

2. Créez un objet qui contient les valeurs du paramètre de clause IN. Dans cet exemple, nous créons un objet anonyme avec une propriété ids qui contient un tableau de valeurs entières :

var parameters = new { ids = new[] { 1, 2, 3, 4, 5 } };

3. Exécutez la requête à l'aide de la méthode Query et transmettez l'objet paramètre comme le deuxième argument :

var results = conn.Query(sql, parameters);

Cette approche est plus concise et sécurisée que la concaténation de chaînes et vous permet de spécifier facilement une liste dynamique de valeurs pour la clause IN.

Remarque pour les utilisateurs de PostgreSQL

Si vous utilisez PostgreSQL, la syntaxe de la clause IN est légèrement différente. Au lieu d'utiliser un espace réservé de paramètre, vous pouvez utiliser l'opérateur ANY pour spécifier les valeurs de la clause IN. Par exemple :

string sql = "SELECT * FROM SomeTable WHERE id = ANY(@ids)";

N'oubliez pas d'ajuster l'objet paramètres en conséquence :

var parameters = new { ids = new[] { 1, 2, 3, 4, 5 } };

Ce qui précède est le contenu détaillé de. pour plus d'informations, suivez d'autres articles connexes sur le site Web de PHP en chinois!