如何即时进行自定义查询？

Question

我正在 vb.net 上使用 sqlite 的数据库工作，该数据库托管一个画廊，我想扩展搜索属性。

这是实际的查询字符串：

"SELECT images.*
FROM images 
JOIN nodes 
ON images.id = nodes.image_id 
WHERE tag_id = (SELECT tags.id 
                FROM tags 
                WHERE tag = '" & tagname & "') 
ORDER BY images." & sort & " " & order & ""

但它只能搜索一个描述性标签（标签名）并对图像进行排序，仅此而已。

我还想过滤图像 ext (table = images.ext) 或一个或多个参数的结果...例如：

如果用户搜索“cars ext:jpg width>500”，数据库将返回具有以下内容的所有图像标签“汽车”，扩展名为 jpg，宽度大于 500 像素。

Answer 1

首先，这段代码是危险的。它容易受到 SQL 注入攻击。您不应该只是将这样的字符串值附加到查询字符串中。相反，您应该使用参数化查询。

对于您的具体问题，您应该检查搜索的输入，并根据输入生成查询的特定部分，并在必要时对它们进行参数化。

例如，如果您必须对扩展进行过滤，那么您可以在保存 join 子句的变量中添加一个到扩展表的连接，并在保存 where 子句的变量中添加对连接表的过滤器（以及相应的参数和参数值）。

然后，最后，将查询的各个部分连接在一起（以及查询参数）并执行它。

Answer 2

首先，如果该输入来自用户，请不要连接这样的字符串，因为它容易受到 SQL 注入

使用 SQL 参数是避免注入的一种方法：

command.CommandText = "SELECT images.* " &_
                      "FROM images " &_
                      "JOIN nodes " &_
                      "ON images.id = nodes.image_id " &_
                      "WHERE tag_id = (SELECT tags.id " &_
                                      "FROM tags " &_
                                      "WHERE tag = @tag)"

您可以将其扩展为：

command.CommandText = "SELECT images.* " &_
                      "FROM images " &_
                      "JOIN nodes " &_
                      "ON images.id = nodes.image_id " &_
                      "WHERE tag_id = (SELECT tags.id " &_
                                      "FROM tags " &_
                                      "WHERE tag = @tag)"

command.Parameters.AddWithValue("@tag", searchTag)


If Not String.IsNullOrEmpty(searchExt) Then
    command.CommandText = command.CommandText & " AND images.ext = @imageExt"
    command.Parameters.AddWithValue("@imageExt", searchExt)
EndIf

If Not String.IsNullOrEmpty(searchWidth) Then
    command.CommandText = command.CommandText & " AND images.width > @imageWidth"
    command.Parameters.AddWithValue("@imageWidth", searchWidth)
EndIf

Answer 3

如果我正确理解这个问题，您只想构建一个查询字符串。你尝试过这样的事情吗？

SQLcommand.CommandText = "SELECT images.* FROM images JOIN 节点 ON images.id = paths.image_id WHERE tag_id = (SELECT Tags.id FROM Tags WHERE tag = '" & tagname & "') AND images.Ext = ' ” &分机& "' AND 宽度 > " &宽度和“按图像排序。” &排序& ” ” &订单& ””

Answer 4

单独构建 WHERE 子句并将其添加到查询中。

where="1"
if tagname<>"" then where=where & " AND tag='" & tagname & "'"
...
"SELECT images.*
FROM images 
JOIN nodes 
ON images.id = nodes.image_id 
WHERE tag_id = (SELECT tags.id 
                FROM tags 
                WHERE " & where & " ) 
ORDER BY images." & sort & " " & order & ""