7

Qual é a forma aconselhável de se montar uma query no C#? É aconselhável utilizar concatenação com o operador +? Por exemplo:

query += " WHERE nome LIKE '%" + nome + "%'"; 

Aqui segue uma query que montei como exemplo para ilustrar a situação:

string query = "SELECT nome, idade FROM Pessoas ";

if (nome != "")
   query += " WHERE nome LIKE '%" + nome + "%'";

query += " ORDER BY idade";

Sei que posso utilizar parâmetros também, porem, e se minha query conter muitas linhas, é a forma certa usar o operador + para quebrar a query em varias partes concatenando, tenho algumas dúvidas a respeito.

1 Resposta 1

8

Definitivamente não. Pelo menos não desta forma. Está usando o ADO.NET, certo? Então monte a consulta com o componente existente para fazer esta construção. No caso é o SQLCommand. Você vai passando os parâmetros por ele. Exemplo:

using (var connection = new SqlConnection(connectionString)) {
    var query = "SELECT nome, idade FROM Pessoas ";
    if (nome != "") query += " WHERE nome LIKE '%@Nome%'";
    query += " ORDER BY idade"; //deixei mas poderia otimizar isto
    var command = new SqlCommand(query, connection);
    command.Parameters.Add("@Nome", SqlDbType.NVarChar);
    command.Parameters["@Nome"].Value = nome;
    try {
        connection.Open();
        int rowsAffected = command.ExecuteNonQuery();
    }
    catch (SQLException ex) {
        Console.WriteLine(ex.Message); //só exemplo, deveria fazer algo mais
    }
}

Note que montar o texto básico da parte fixa não é um grande problema. Claro que se tiver concatenação demais é melhor usar um StringBuilder para evitar grandes cópias de dados de uma string para outra, já que este tipo é imutável e pode ser muito grande.

var query = new StringBuilder("SELECT nome, idade FROM Pessoas ");
if (nome != "") query.Append(" WHERE nome LIKE '%@Nome%'");
query.Append(" ORDER BY idade"); //deixei mas poderia otimizar isto

Coloquei no GitHub para referência futura.

O que não pode é concatenar a parte variável, porque aí pode ocorrer o tal do SQL Injection. Precisa deixar a inserção da parte que vem externamente para um método que sabe lidar com este tipo de problema.

Note que você tem que identificar na consulta o que é o parâmetro e depois enviá-lo, tudo pela classe SQLCommand.

Isto pode não resolver todos os problemas de segurança, mas já é um avanço.

1
  • 1
    Tenho umas querys com muitas linhas, ja estou usando o Parameters vou usar o StringBuilder para concatenar.
    – gato
    17/12/2015 às 23:56

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .