Web API,带有查询Oracle数据库的输入参数

本文关键字:数据库 输入 参数 Oracle 查询 API Web | 更新日期: 2023-09-27 17:59:56

我们创建了Web API,用于查询Oracle DB,并以以下格式以JSON返回结果。因此API将获得输入参数数组

目前,我正在使用以下URL作为查询数据库

https://bhbl.abc.org/api/Sample?id='BL001'&id='TM002'

因此,内部查询将像一样进行转换

SELECT * 
FROM STCD_PRIO_CATEGORY 
WHERE STPR_STUDY.STD_REF IN ("BL001,TM002")

下面是我们使用的代码

public class SampleController : ApiController
{
    public HttpResponseMessage Getdetails([FromUri] string[] id)
    {
        using (OracleConnection dbconn = new OracleConnection("DATA SOURCE=J;PASSWORD=C;PERSIST SECURITY INFO=True;USER ID=T"))
        {
            var inconditions = id.Distinct().ToArray();
            var srtcon = string.Join(",", inconditions);
            DataSet userDataset = new DataSet();
            var strQuery = @"SELECT * from STCD_PRIO_CATEGORY where STPR_STUDY.STD_REF IN(" + srtcon + ")";
            OracleCommand selectCommand = new OracleCommand(strQuery, dbconn);
            OracleDataAdapter adapter = new OracleDataAdapter(selectCommand);
            DataTable selectResults = new DataTable();
            adapter.Fill(selectResults);
            var response = Request.CreateResponse(HttpStatusCode.OK, returnObject, MediaTypeHeaderValue.Parse("application/json"));
           ContentDispositionHeaderValue contentDisposition = null;
           if (ContentDispositionHeaderValue.TryParse("inline;  filename=ProvantisStudyData.json", out contentDisposition))
           {
               response.Content.Headers.ContentDisposition = contentDisposition;
           }
           return response;
       }
   }
}

我想知道我们是否可以使用相同的API查询整个记录(即,不跳过where STPR_STUDY.STD_REF IN("BL001,TM002"),而不在URL中传递任何内容,如

 https://bhbl.abc.org/api/Sample

我试过了,但它一直在加载,没有显示任何错误。我不确定我所做的是否正确。

Web API,带有查询Oracle数据库的输入参数

首先,您可以检查id数组,看看它是否为空。如果它是空的,那么不要附加where子句,否则就添加。

更重要的是,您不应该使用url中的参数来直接构建sql语句。您正在为sql注入攻击创建一个很好的候选者。你应该做点什么来净化你的输入。