Oracle 的 C# 参数化查询 - 严重&危险的错误！

Question

这绝对是一个嚎叫。我不敢相信自己的眼睛，而且我不敢相信，如果这是 C# 中的一个真正的错误，那么在我之前没有人会发现这一点，所以我将其发布给开发人员社区的其他成员，让他们告诉我我做错了什么。我确信这个问题会让我说“DOH！”然后用手掌用力拍打我的头 - 但无论如何，这里是......

为了测试，我创建了一个表 Test_1，脚本如下：

CREATE TABLE TEST_1 (
  COLUMN1 NUMBER(12) NOT NULL,
  COLUMN2 VARCHAR2(20),
  COLUMN3 NUMBER(12))
TABLESPACE USERS
STORAGE (
  INITIAL 64K
  MAXEXTENTS UNLIMITED
)
LOGGING;

现在我执行以下代码：

var conn = new OracleConnection("connectionblahblah");
conn.Open();
var cmd = conn.CreateCommand();
cmd.CommandText = 
  "insert into Test_1(Column1, Column2, Column3) " +
  "values(:Column1, :Column2, :Column3)";
var p = cmd.Parameters;
p.Add("Column1", 1);
p.Add("Column3", null);
p.Add("Column2", "record 1");
cmd.ExecuteNonQuery();

哇！我收到 ORA-01722 错误 - “无效数字”！但有什么问题吗？ Column1 是数字，并且值为 1，所以没问题； Column2 是一个字符串，Column3 是一个可为空的列，因此不会造成任何麻烦...

现在坐下来讨论这个...这里的问题是Column3 和 Column2 按照它们添加到 OracleParameterCollection 的顺序进行调换。交换它们，然后！有用！

当然，这引导我进行下一个明显的实验...让我们更改添加参数的代码块，如下所示：

p.Add("Foo", 1);
p.Add("Bar", "record 1");
p.Add("hahahahahahaha", null);

您认为这会起作用吗？好吧，你猜怎么着——它能！

我坐在这里完全惊呆了。我无法相信我所看到的，而且我同样无法相信在我之前没有人发现这种行为（除非我不知道如何正确使用谷歌）。

这不仅是一种烦恼，而且是非常危险的。如果我调换相同数据类型的两列会发生什么？我什至不会得到一个错误——我只会将错误的数据插入到错误的列中，并且一无所知。

有没有人有任何解决方法的想法 - 除了小心不要以错误的顺序添加参数之外？

Answer 1

这不是一个错误，但在 Oracle ODP.Net 文档中明确提到。在 OracleCommand 类中，参数默认按位置绑定。如果您想按名称绑定，请显式设置属性 cmd.BindByName = true;。

参考 Oracle 文档。
http://download.oracle.com/docs /cd/E11882_01/win.112/e12249/OracleCommandClass.htm#i997666

Answer 2

您是否在column2之前添加了column3，这是一个拼写错误吗？

因为冒号语法表示绑定变量，所以名称对于 PLSQL 中的 BIND 变量来说并不重要，因此它们按照提交的顺序填充。这意味着您将尝试将column2值设置为“记录1”，这将解释无效数字错误...

您当前有：

p.Add("Column1", 1);
p.Add("Column3", null);
p.Add("Column2", "record 1");

...看看此更改是否解决了您的问题：

p.Add("Column1", 1);
p.Add("Column2", "record 1");
p.Add("Column3", null);

让命名参数起作用？

我必须请具有更多 C# 经验的人来解释如何使命名参数正常工作。但我很高兴我们确认冒号似乎被解释为 Oracle BIND 变量。

Answer 3

p.Add(":Column1", 1);
p.Add(":Column2", "record 1");
p.Add(":Column3", null);

//注意我已将 : 添加到参数名称中以供 Oracle 数据客户端识别