Как выбрать динамическое имя таблицы во время выполнения?

Question

Я использую MySQL Connector/Net, и я хочу написать запрос к таблице, имя которой будет указано во время выполнения.

Этот пример с верхней части моей головы (не тестировался):

public class DataAccess 
{ 
    public enum LookupTable 
    { 
     Table1, 
     Table2, 
     Table3 
    } 

    public int GetLookupTableRowCount(LookupTable table) 
    { 
     string tableName = string.Empty; 

     switch (table) 
     { 
      case LookupTable.Table1: 
       tableName = "table_1"; 
       break; 
      case LookupTable.Table2: 
       tableName = "table_2"; 
       break; 
      case LookupTable.Table3: 
       tableName = "table_3"; 
       break; 
      default: 
       throw new ApplicationException("Invalid lookup table specified."); 
     } 

     string commandText = string.Concat("SELECT COUNT(*) FROM ", tableName); 

    // Query gets executed and function returns a value here... 
    } 
} 

Так как я не думаю, что вы можете параметризовать имя таблицы в запросе, я использовал перечисление, а не строки в параметр функции для ограничения возможности SQL injection.

Это похоже на хороший подход? Есть ли способ лучше?

Answer 1

Вы не можете параметрировать identifier (имя таблицы или имя поля) в MySQL, однако вы можете избежать их с помощью обратных ссылок.

Следующий запрос будет работать безопасно, но приводит к ошибке, так как таблица не существует (если по какой-то странной случайности вы на самом деле есть таблица с именем, как это):

SELECT * FROM `users; DROP TABLE users;`; 

В принципе, вы можете использовать динамический имена или поля, если они заключены в обратные ссылки. Для того, чтобы предотвратить инъекции SQL таким образом, все, что вам нужно сделать, это вырезать любую кавычку первой:

tableName = tableName.Replace("`", ""); 
string commandText = "SELECT COUNT(*) FROM `" + tableName + "`"; 

Answer 2

Правильно, вы не можете использовать параметр запроса для имени таблицы, имени столбца, ключевого слова или выражения SQL и т. Д. Вы можете использовать параметр запроса только для одного значения.

Я согласен с тем, что выполнение какого-либо сопоставления ввода с именем таблицы literal является хорошим способом защиты от SQL-инъекции.

Я не программирую в .NET, я обычно использую динамические языки, такие как PHP, Python или Perl. Поэтому я использую хэш-массив. Вы можете пропустить switch(), если вы можете просто использовать переменную перечисления для индексации в массив хэшей.

$tableName = $tableNameHash[ $table ]; 

Поддерживает ли .NET структуру данных хэш-карты? Это то, что я бы искал.

---

Похоже есть hash_map класса в стандартной библиотеке C++.

Answer 3

имен Динамической таблицы никогда не хороший подход (если вы не разрабатываете PHPMyAdmin или что-то подобное).

Если имена таблиц ограничены, почему бы вам просто не сделать хранимую процедуру и назвать ее параметром?

DECLARE _which INT 
BEGIN 
     SELECT COUNT(*) 
     FROM table_1 
     WHERE _which = 1 
     UNION ALL 
     SELECT COUNT(*) 
     FROM table_2 
     WHERE _which = 2 
     UNION ALL 
     SELECT COUNT(*) 
     FROM table_3 
     WHERE _which = 3 
END