Эндрю Троелсен - ЯЗЫК ПРОГРАММИРОВАНИЯ С# 2005 И ПЛАТФОРМА .NET 2.0. 3-е издание

private static void InsertNewCar(SqlConnection cn) {

// Сбор информации о новой машине.

Console.Write("Введите номер машины: ");

int newCarID = int.Parse(Console.ReadLine());

Console.Write("Введите марку: ");

string newCarMake = Console.ReadLine();

Console.Write("Введите цвет: ");

string newCarColor = Console.ReadLine();

Console.Write("Введите название: ");

string newCarPetName = Console.ReadLine();

// Создание и выполнение оператора SQL.

string sql = string.Format("Insert Into Inventory" +

"(CarID, Make, Color, PetName) Values" +

"({0}', '{1}', '{2}', '{3}')",

newCarID, newCarMake, newCarColor, newCarPetName);

SqlCommand cmd = new SqlCommand(sql, cn);

cmd.ExecuteNonQuery();

}

Замечание.Вы, возможно, знаете, что построение SQL-операторов с помощью конкатенации строк достаточно рискованно с точки зрения безопасности (вспомните о возможных атаках SQL-инъекции). Здесь этот подход используется только для простоты, поскольку, конечно же, предпочтительнее строить текст команд с помощью параметризованных запросов, обсуждение которых предполагается немного позже.

Удалить существующую запись так же просто, как и вставить новую. Но, в отличие от программного кода для InsertNewCar(), ниже демонстрируется важная возможность применения try/catch для обработки попытки удаления автомобиля, используемого в настоящий момент в процессе оформления заказа для покупателя из таблицы Customers (сама эта таблица будет рассмотрена в этой главе позже).

private static void DeleteCar(SqlConnection cn) {

// Получение номера машины для удаления и само удаление.

Console.Write("Введите номер машины для удаления: ");

int carToDelete = int.Parse(Console.ReadLine());

string sql = string.Format("Delete from Inventory where CarID = '{0}'", carToDelete);

SqlCommand cmd = new SqlCommand(sql, cn);

try { cmd.ExecuteNonQuery(); } catch {

Console.WriteLine("Извините, на эту машину оформляется заказ!");

}

}

Если вы разобрались с программным кодом для DeleteCar() и InsertNewCar(), то и программный код для UpdateCarPetName() не будет для вас сложным (здесь для простоты логика try/catch тоже исключена).

private static void UpdateCarPetName(SqlConnection cn) {

// Получение номера машины для модификации и ввод нового названия.

Console.Write("Введите номер машины для модификации: ");

string newPetName = "";

int carToUpdate = carToUpdate = int.Parse(Console.ReadLine());

Console.Write("Введите новое название: ");

newPetName = Console.ReadLine();

// Обновление записи.

string sql = string.Format("Update Inventory Set PetName='{0}' Where CarID='{1}'", newPetName, carToUpdate);

SqlCommand cmd = new SqlCommand(sql, cn);

cmd.ExecuteNonQuery();

}

На этом создание приложения завершается. На рис. 22.8 показан результат тестового запуска этого приложения.

Рис. 22.8. Вставка, обновление и удаление записей c помощью объектов команд

Показанная выше программная логика вставки, обновления и удаления работает так, как и ожидается, однако обратите внимание на то, что каждый из SQL-запросов здесь представлен "жестко" закодированными строковыми литералами. Вы, возможно, знаете, что с SQL-параметрами можно обращаться, как с объектами, а не с простыми строками текста, если использовать параметризованные запросы Обычно параметризованные запросы выполняются намного быстрее буквальных SQL-строк, поскольку они анализируются только один раз (а не каждый раз, когда SQL-строка присваивается свойству CommandText). Параметризованные запросы также обеспечивают защиту от атак SQL-инъекции (это известная проблема безопасности доступа к данным).

Объекты команд ADO.NET поддерживают коллекцию дискретных типов параметра. По умолчанию эта коллекция пуста, но вы можете добавить в нее любое число объектов параметра, которые должны будут отображаться в "заместитель" параметра в SQL-запросе. Чтобы ассоциировать параметр в SQL-запросе с членом коллекции параметров данного объекта команды, добавьте к текстовому SQL-параметру префикс @ (это работает, как минимум, при использовании Microsoft SQL Server, но такое обозначение поддерживают не все СУБД).

Перед тем как приступить к построению параметризованных запросов, мы должны рассмотреть тип DbParameter (который является базовым классом объектов параметров, специфичных для конкретного поставщика данных). Этот класс поддерживает ряд свойств, позволяющих указать имя, размер и тип данных параметра, а также другие его особенности, например направление параметра. В табл. 22.8 описаны некоторые свойства типа DbParameter.