열 이름이 가변적일 때 매개변수화된 값을 사용하여 SQL 쿼리를 동적으로 작성하려면 어떻게 해야 합니까?

매개변수 제한으로 인한 동적 쿼리 작성

동적 열 이름이 포함된 쿼리를 실행하는 동안 개발자는 열 이름을 매개변수화할 수 없다는 제한에 직면할 수 있습니다. . 이 문제를 피하려면 런타임에 쿼리를 동적으로 작성해야 합니다.

다음의 작동하지 않는 예를 고려하십시오.

SqlCommand command = new SqlCommand("SELECT @slot FROM Users WHERE name=@name; ");
prikaz.Parameters.AddWithValue("name", name);
prikaz.Parameters.AddWithValue("slot", slot);

대안으로 "슬롯" 입력을 화이트리스트에 추가하세요. 삽입 공격을 방지하고 다음과 같이 쿼리를 작성합니다.

// TODO: verify that "slot" is an approved/expected value
SqlCommand command = new SqlCommand("SELECT [" + slot +
           "] FROM Users WHERE name=@name; ")
prikaz.Parameters.AddWithValue("name", name);

이 접근 방식을 사용하면 변수 열을 동적으로 처리하는 동시에 "@name"이 매개변수화된 상태로 유지됩니다. 이름.

위 내용은 열 이름이 가변적일 때 매개변수화된 값을 사용하여 SQL 쿼리를 동적으로 작성하려면 어떻게 해야 합니까?의 상세 내용입니다. 자세한 내용은 PHP 중국어 웹사이트의 기타 관련 기사를 참조하세요!