ODBC 쿼리에서 테이블 이름을 매개 변수화하는 방법

Question

데이터베이스에 ODBC 연결이 있는데 사용자가 모든 테이블 내에서 데이터를 볼 수 있기를 바랍니다. 이것은 ASP.net 응용 프로그램이므로 전송 된 테이블 이름에도 nasties가 포함되지 않는다고 나는 믿을 수 없습니다. 나는 매개 변수화 쿼리를 사용하여 시도했지만 난 항상 "변수가 테이블 선언해야합니다"라고 말하는 오류가 - 그것은 가장 좋은 방법은 무엇 테이블 이름

string sql = "SELECT TOP 10 * FROM ? "; 
OdbcCommand command = new OdbcCommand(sql, dbConnection); 
command.Parameters.Add(new OdbcParameter("@table", tableName)); 
OdbcDataAdapter adapter = new OdbcDataAdapter(); 
adapter.SelectCommand = command; 
adapter.Fill(tableData); 

때문에이 문제가 될 나타납니다 이것을 안전하게하는 방법은?

Answer 1

저장 프로 시저를 사용하면 가장 안전한 방법입니다.

일부 힌트 :

:

1. 당신은 아마 또한 System.Data.SqlClient 네임 스페이스
2. 가 연결, 명령 및 어댑터가 using 문

다음은 간단한 예제의에서 초기화를 개체를 동봉 개체를 사용할 수있다

string sqlStoredProcedure = "SelectFromTable"; 
using (OdbcConnection dbConnection = new OdbcConnection(dbConnectionString)) 
{ 
    dbConnection.Open(); 
    using (OdbcCommand command = new OdbcCommand(sqlStoredProcedure, dbConnection)) 
    { 
     command.CommandType = System.Data.CommandType.StoredProcedure; 
     command.Parameters.Add(new OdbcParameter("@table", tableName)); 
     using (OdbcDataAdapter adapter = new OdbcDataAdapter(command)) 
     { 
      adapter.SelectCommand = command; 
      adapter.Fill(tableData); 
     } 
    } 
} 

어쩌면 사용하여, 모든 테이블 이름을 검색하고 목록의 항목으로 tableName 문자열 변수의 유효성을 확인하는 것입니다 이동하는 또 다른 방법 :

string sql = "SELECT TOP 10 * FROM {0}"; 
using (OdbcConnection dbConnection = new OdbcConnection(dbConnectionString)) 
{ 
    dbConnection.Open(); 

    DataTable tables = dbConnection.GetSchema(OdbcMetaDataCollectionNames.Tables); 
    var matches = tables.Select(String.Format("TABLE_NAME = '{0}'", tableName)); 

    //check if table exists 
    if (matches.Count() > 0) 
    { 
     using (OdbcCommand command = new OdbcCommand(String.Format(sql, tableName), dbConnection)) 
     { 
      using (OdbcDataAdapter adapter = new OdbcDataAdapter(command)) 
      { 
       adapter.SelectCommand = command; 
       adapter.Fill(tableData); 
      } 
     } 
    } 
    else 
    { 
     //handle invalid value 
    } 
}