用于获取输入参数以查询Oracle数据库的Web API

Question

我正在创建具有四个输入参数的 Web API。输入参数将在 Select 语句的 where 子句中使用。Oracle 中的字段是 ROOM （Varchar），SUBMIT_DATE（Date）（例如：01-JAN-16）。URL 应该是类似于 '/api/TGSSampleDatas？房间=654

public class TGSSampleDatasController : ApiController
{
    [HttpGet]
    public HttpResponseMessage Getdetails(string ROOM,DateTime ? SUBMITDATE = null)
        {
            List<OracleParameter> prms = new List<OracleParameter>();
            List<string> selectionStrings = new List<string>();
            string connStr = ConfigurationManager.ConnectionStrings["TGSDataConnection"].ConnectionString;
        using (OracleConnection dbconn = new OracleConnection(connStr))
        {
            DataSet userDataset = new DataSet();
            var strQuery = "SELECT * from LIMS_SAMPLE_RESULTS_VW where ROOM = " + ROOM +"and SUBMIT_DATE =" +"'"+SUBMITDATE+"'";
           var returnObject = new { data = new OracleDataTableJsonResponse(connStr, strQuery, prms.ToArray()) };
            var response = Request.CreateResponse(HttpStatusCode.OK, returnObject, MediaTypeHeaderValue.Parse("application/json"));
            ContentDispositionHeaderValue contentDisposition = null;
            if (ContentDispositionHeaderValue.TryParse("inline; filename=TGSData.json", out contentDisposition))
            {
                response.Content.Headers.ContentDisposition = contentDisposition;
            }
            return response;

Answer 1

您的Sql语句错误。

"SELECT * from LIMS_SAMPLE_RESULTS_VW where ROOM = " + ROOM +"and SUBMIT_DATE =" +"'"+SUBMITDATE+"'";
//--------------------------------no ticks-^----^ -no space--^

• room是一个字符串，因此如果您要使用字符串连接（但不要），您应该将其与'一起括起来，否则它将成为语句的一部分。
• ROOM和和之间也没有空格。

真正的解决办法是对< code>ROOM和< code>SUBMITDATE都使用参数。这样做可以从一开始就防止这样的问题发生。

我在猜测参数类型，您可能需要更正它们。

List<OracleParameter> prms = new List<OracleParameter>();
prms.Add(new OracleParameter("ROOM", OracleDbType.Varchar2, ROOM, ParameterDirection.Input));
prms.Add(new OracleParameter("SUBMITDATE", OracleDbType.Date, SUBMITDATE ?? System.DBNull.Value, ParameterDirection.Input));
// note that because you are using a nullable type as input you should pass in DBNull.Value as the value if the value is null in your c# code.

var strQuery = "SELECT * from LIMS_SAMPLE_RESULTS_VW where ROOM = :ROOM and SUBMIT_DATE = :SUBMITDATE";

像您这样的字符串串联会使您的系统容易受到sql注入攻击，并给您的sql代码增加问题。后者可以通过传入包含< code>'标记的值来说明。再做一次，你可以结束sql语句，并在末尾添加另一个语句。