使用VS.NET2003编写存储过程

来源：作者：出处：巧巧读书 2007-10-09 进入讨论组

　　下载 JumpPart2Sample.msi。（请注意，在示例文件中，程序员的注释使用的是英文，本文中将其译为中文是为了便于读者理解。）

　　数据表定义了如何在数据库中存储数据，但没有说明如何存取数据。我们还需要了解读写记录以便从表中再次调用选定行和列的详细信息。开发人员通常会在其代码中编写一些特殊的查询语句，用于读写数据。这不仅会导致效率低下，还会带来安全性问题。在本应用中，所有数据存取工作都将通过 SQL Server 存储过程（stored procedures，有时称作“stored procs”或“sprocs”）来处理。使用存储过程可以提高解决方案的性能并使之更安全。此外，使用存储过程可以增加数据层的抽象级别，从而保护解决方案的其他部分不受小的数据布局和格式变化带来的影响。这样可使您的解决方案更可靠，更易于维护。

　　我们经常会看到如下所示的文章和代码示例：

Private Function GetSomeData(ByVal ID As Integer) As SqlDataReader
　　　　Dim strSQL As String
　　　　strSQL = "SELECT * FROM MyTable WHERE ID=" & ID.ToString()
　　　　cd = New SqlCommand
　　　　With cd
　　　　　　.CommandText = strSQL
　　　　　　.CommandType = CommandType.Text
　　　　　　.Connection = cn
　　　　　　.Connection.Open()
　　　　　　Return .ExecuteReader(CommandBehavior.CloseConnection)
　　　　End With
　　End Function

　　上述代码不符合要求的原因有以下几个。首先，如果将 SQL 查询语句嵌套在代码中，那么只要数据层发生任何变化，都必须编辑并重新编译代码层。这样就会带来诸多不便。还可能会导致其他错误，而且通常会造成数据服务和代码之间的混乱。

　　其次，如果使用不经过输入验证的字符串连接 ("...WHERE ID=" & ID.ToString())，将可能使您的应用程序暴露在黑客的攻击之下。更重要的是，这样就会为恶意用户提供了在您的代码中添加其他 SQL 关键字的机会。例如，根据您的输入模式，恶意用户不仅可以输入 13 或 21 作为有效的表 ID，还可以输入 13; DELETE FROM USERS 或其他可能会带来危害的语句。完善的输入验证可以保护您的系统免受大多数 SQL 插入代码的攻击，所以最好将所有内置的 SQL 语句完全删除，使攻击者很难滥用您的应用程序数据。

URL:http://www.qqread.com/winnt/u348870.html