Web API,带有查询Oracle数据库的输入参数
本文关键字:数据库 输入 参数 Oracle 查询 API Web | 更新日期: 2023-09-27 17:59:56
我们创建了Web API,用于查询Oracle DB,并以以下格式以JSON返回结果。因此API将获得输入参数数组
目前,我正在使用以下URL作为查询数据库
https://bhbl.abc.org/api/Sample?id='BL001'&id='TM002'
因此,内部查询将像一样进行转换
SELECT *
FROM STCD_PRIO_CATEGORY
WHERE STPR_STUDY.STD_REF IN ("BL001,TM002")
下面是我们使用的代码
public class SampleController : ApiController
{
public HttpResponseMessage Getdetails([FromUri] string[] id)
{
using (OracleConnection dbconn = new OracleConnection("DATA SOURCE=J;PASSWORD=C;PERSIST SECURITY INFO=True;USER ID=T"))
{
var inconditions = id.Distinct().ToArray();
var srtcon = string.Join(",", inconditions);
DataSet userDataset = new DataSet();
var strQuery = @"SELECT * from STCD_PRIO_CATEGORY where STPR_STUDY.STD_REF IN(" + srtcon + ")";
OracleCommand selectCommand = new OracleCommand(strQuery, dbconn);
OracleDataAdapter adapter = new OracleDataAdapter(selectCommand);
DataTable selectResults = new DataTable();
adapter.Fill(selectResults);
var response = Request.CreateResponse(HttpStatusCode.OK, returnObject, MediaTypeHeaderValue.Parse("application/json"));
ContentDispositionHeaderValue contentDisposition = null;
if (ContentDispositionHeaderValue.TryParse("inline; filename=ProvantisStudyData.json", out contentDisposition))
{
response.Content.Headers.ContentDisposition = contentDisposition;
}
return response;
}
}
}
我想知道我们是否可以使用相同的API查询整个记录(即,不跳过where STPR_STUDY.STD_REF IN("BL001,TM002"),而不在URL中传递任何内容,如
https://bhbl.abc.org/api/Sample
我试过了,但它一直在加载,没有显示任何错误。我不确定我所做的是否正确。
首先,您可以检查id数组,看看它是否为空。如果它是空的,那么不要附加where子句,否则就添加。
更重要的是,您不应该使用url中的参数来直接构建sql语句。您正在为sql注入攻击创建一个很好的候选者。你应该做点什么来净化你的输入。