初めてSQLServerに接続して、SQLを実行するようなプログラムを行っているのですが、
皆さんどの様にやっているかを教えて頂きたいです。
SQL接続と、SELECT文等は殆ど共通にできると思うので共通とし
クエリ部分を可変にしようと思ったのですが、VisualStudio2012のコード分析を行うと
クエリの部分を可変文字にするとCA2100で警告が出ます。
SELECT文の一部をパラメータ付きにすれば良いと、
https://msdn.microsoft.com/ja-jp/library/ms182310.aspx
MSDNで記載されていますが、皆さん以下のようにベタ書きでプログラムしてるのでしょうか？
someCommand.CommandText = "SELECT AccountNumber FROM Users " +
"WHERE Username=@username AND Password=@password";
SQL少し変えるだけで、毎回コンパイルしないといけないので、app.configなどにクエリを書ければなーと思ってました。
※まさしくこれが脆弱性といえるかもしれませんが。
よろしくお願いいたします。
--
追記
すみません、やりたい事は単純なことで以下のようにマジックナンバー的に書くのではなく
string query = "SELECT * FROM XXX 略"という記載
string query = "SELECT * FROM YYY 略"という記載をプログラム等で持つのではなく
app.configエリア等に、SELECT * FROM ZZZのように文字列を定義しておいて
コンパイル無しで後から簡単に変えれないのかなと思ったのです。
定義ファイルを変えれば実行する事を変えれるので、脆弱なプログラムになりそうな。というのは
そういう事で書いた感じです。
理想は、
void 呼び出し関数A
{
XXX.Command(Properties.Settings.Default.QueryA);
}
void 呼び出し関数B
{
XXX.Command(Properties.Settings.Default.QueryB);
}
void Command(string query)
{
.CommandText = query;
}
のようにしたいのですが、これではセキュリティに引っかかるので
どうしているのかなという話でした。
SELECT～等の記載をプログラム内部で持たせたくないな。という考え方をしていたため、この質問になります。
一般的に"SELECT * FROM"等の文字列は内部で持つのが普通なのかな。と
