获得“最终”结果来自 MySqlCommand 的准备好的语句

Question

我有以下 MySqlCommand：

Dim cmd As New MySqlCommand
cmd.CommandText = "REPLACE INTO `customer` VALUES( ?customerID, ?firstName, ?lastName)"

With cmd.Parameters
 .AddWithValue("?customerID", m_CustomerID)
 .AddWithValue("?firstName", m_FirstName)
 .AddWithValue("?lastName", m_LastName)
End With

我有一个处理 MySqlCommands 执行的类，我希望它将每个查询记录到文件中。我可以检索正在执行的查询/命令：

cmd.CommandText

但这只是返回带有参数（？customerID，？firstName等）的原始CommandText，而不是由添加的实际替换值AddWithValue 函数。如何找出实际执行的“最终”查询？

Answer 1

我做了以下操作：

dim tmpstring as string = MySqlCommand.CommandText
For each p as MySqlParameter in MySqlCommand.parameters
    tmpstring = tmpstring.replace(p.ParameterName, p.Value)
Next

这似乎输出了您需要的一切

Answer 2

我还没有看到这方面的方法。

在任何情况下，准备好的语句都会使用 ?customerID,?firstname 参数发送到服务器，然后单独发送实际参数 - mysql 驱动程序不会像您那样构建最终的 sql 查询不要使用准备好的语句。

Answer 3

您使用的参数化方法应该可以防止 SQL 注入。

.AddWithValue("?customerID", m_CustomerID)

如果 m_CustomerID 包含文本

Haha I'm stealing your data; drop table whatever;

那么它最终不会在服务器上执行。 AddWithValue 会为您解决这个问题。

至于实际执行的查询，如果启用了，您应该能够从查询日志中获取它。

Answer 4

您必须自己构建它。

参数不只是放入字符串中然后作为 SQL 语句运行。 RDBMS 将实际准备 SQL，然后根据需要使用参数值。因此，没有一条 SQL 语句发送到服务器。要查看 SQL 是什么，您必须执行以下操作：

Console.WriteLine("REPLACE INTO `customer` VALUES('" & m_CustomerID & _
    "', '" & m_FirstName & "', '" & m_LastName & "')")

Answer 5

我有同样的需要。

根据我的阅读，查询文本不会与客户端中的参数值相结合 - 它们会被发送到服务器。

为了检查实际发送到服务器的查询，我使用了 mysqld 日志记录。对于我的 MySQL 版本，我将此条目添加到 my.cnf：

log=queries.txt

然后，我能够清楚地看到将命令文本与参数相结合的效果： 在我的例子中，重新启动 mysqld 后，我运行了单元测试，然后打开querys.txt 文件。

哈！

Answer 6

如果您想从 .NET 应用程序自行管理日志记录，最好的选择是继续使用带参数的 MySqlCommand 类以避免 SQL 注入；但是，当您记录 CommandText 时，请循环遍历参数集合并按名称/类型/值记录每个参数。