简单的web三层架构系统【第二版】

昨天写了 web三层架构的第一版,准确的说是三层架构的前期,顶多算是个二层架构,要慢慢完善。

第一版里,程序虽说能运行起来,但是有一个缺陷,就是里面的SQL语句,是使用的拼接字符进行执行。这样安全系数很低,如果有心人的话,可能会SQL注入,重新拼接字符,然后篡改我们的数据库内容,导致不可挽回的损失。

在第二版本,也就是这一版里,我对原来的SQL语句进行了重构,使用带参数的SQL语句对数据库进行操作,这样做的好处是,无论用户输入的是什么格式的字符,SQL语句都会原封不动的把这些字符写入到数据库中,这样就避免了有心人对字符进行拼接,导致数据库出错。

下面我用另一个小例子来说明防止SQL注入的核心代码,在最后会给出我重构过的第一版程序,也就是今天要写第二版程序:

这是DAO类中的insert方法:

         public bool insert(string name, string sex, string salary)
{
bool flag = false; SqlParameter[] paras = new {
new SqlParameter("@name", name),
new SqlParameter("@sex", sex),
new SqlParameter("@salary", salary)
}; string sql = "insert into person ([name], sex, salary) values (@name, @sex, @salary)"; if (sq.ExecuteNonQuery(sql, paras) > ) //把SQL语句和SQL参数同时传入SQLHelper的ExecuteNonQuery中执行。
{                   // flag = true;
} return flag;
}

这是SQLHelper类中的ExecuteNonQuery方法:

         public int ExecuteNonQuery(string sql, SqlParameter[] paras)
{
int result; cmd = new SqlCommand(sql, getcon()); //创建SQLcommand对象cmd cmd.Parameters.AddRange(paras); //在SQLcommand对象cmd中,添加参数。
                              //上面的这一句注释,是自己的理解,如果理解错了,请在评论区帮忙指正一下,先谢过。
result = cmd.ExecuteNonQuery(); //然后执行对象cmd,其中已经包含了SQL语句和要用的参数 return result;
    }

上面是一个小例子,创建了一张表,然后向表里的 NAME SEX SALARY 三个字段中添加内容。

下面是第二版web三层架构程序:

SQLhelper助手类:

 using System;
using System.Collections.Generic;
using System.Linq;
using System.Text;
using System.Threading.Tasks; using System.Data;
using System.Data.SqlClient;
using System.Configuration; namespace DAL
{
public class SQLHelper
{
SqlCommand cmd = null; public string strcon()
{
string strcon = ConfigurationManager.ConnectionStrings["strcon"].ConnectionString; return strcon;
} public SqlConnection getcon()
{
SqlConnection con = new SqlConnection(strcon()); if (con.State == ConnectionState.Closed)
{
con.Open();
} return con;
} #region 执行增删改查的SQL语句
/// <summary>
/// 执行增删改查的SQL语句
/// </summary>
/// <param name="sql">要执行的SQL</param>
/// <returns>返回执行SQL语句后影响的行数</returns>
public int ExecuteNonQuery(string sql)
{
int res; try
{
cmd = new SqlCommand(sql, getcon()); res = cmd.ExecuteNonQuery();
}
catch (Exception ex)
{
throw ex;
}
finally
{
if (getcon().State == ConnectionState.Open)
{
getcon().Close();
}
} return res;
}
#endregion #region 执行带参数的增删改SQL语句
/// <summary>
/// 执行带参数的增删改SQL语句
/// </summary>
/// <param name="sql">要执行的SQL语句</param>
/// <param name="paras">传入的参数</param>
/// <returns>返回受影响的行数</returns>
public int ExecuteNonQuery(string sql, SqlParameter[] paras)//上下两个ExecuteNonQuery因为使用了方法的重载,其中参数不同,所以虽说都在调用ExecuteNonQuery,但是传递的参数的个数不同,系统会自动识别用哪一个ExecuteNonQuery方法。
{
int res; cmd = new SqlCommand(sql, getcon());// 1 cmd.Parameters.AddRange(paras);// 2 res = cmd.ExecuteNonQuery(); return res;
}
#endregion #region 执行传入的SQL查询语句
/// <summary>
/// 执行传入的SQL查询语句
/// </summary>
/// <param name="sql">要执行的查询SQL</param>
/// <returns>返回查询SQL语句的数据集</returns>
public DataTable ExecuteQuery(string sql)
{
DataTable dt = new DataTable(); //创建一个SqlCommand对象cmd,让其连接数据库,并指向sql语句。//自己理解,如果不对的话请在评论区指正,先谢过。
cmd = new SqlCommand(sql, getcon()); //执行cmd连接的数据库.使用using后在执行完毕后,直接关闭sdr。不需要写sdr.closed.
using (SqlDataReader sdr = cmd.ExecuteReader(CommandBehavior.CloseConnection))//如果使用 CommandBehavior.CloseConnection 参数,那么在代码的结尾处就不需要写 getcon().Close(),他会直接关闭。
{
dt.Load(sdr);// Load 这种方法适合于SqlDataReader。如果是SqlDataAdapter,则会用到 Fill 方法。
} return dt;
}
#endregion #region 执行传入带参数的SQL查询语句
/// <summary>
/// 执行传入带参数的SQL查询语句
/// </summary>
/// <param name="sql">要执行的SQL语句</param>
/// <param name="paras">传入的参数</param>
/// <returns>返回查询的数据集</returns>
public DataTable ExecuteQuery(string sql, SqlParameter[] paras)
{
DataTable dt = new DataTable(); cmd = new SqlCommand("sql", getcon()); cmd.Parameters.AddRange(paras); using (SqlDataReader sdr = cmd.ExecuteReader(CommandBehavior.CloseConnection))
{
dt.Load(sdr);
} return dt;
}
#endregion
}
}

personDAO员工操作类:

 using System;
using System.Collections.Generic;
using System.Linq;
using System.Text;
using System.Threading.Tasks; using System.Data;
using System.Data.SqlClient; namespace DAL
{
public class personDAO
{
SQLHelper sq = null; public personDAO()
{
sq = new SQLHelper();
} #region 增加员工信息
/// <summary>
/// 增加员工信息
/// </summary>
/// <param name="name">要添加的员工姓名</param>
/// <param name="sex">要添加的员工性别</param>
/// <param name="salary">要添加的员工工资</param>
/// <returns>返回真假值:如果是真显示添加成功,如果是假显示添加失败</returns>
public bool insert(string name, string sex, string salary)
{
bool flag = false; SqlParameter[] paras = new SqlParameter[]
{
new SqlParameter("@name", name),
new SqlParameter("@sex", sex),
new SqlParameter("@salary", salary)
}; string sql = "insert into person ([name], sex, salary) values (@name, @sex, @salary)";//记住,添加参数的时候,不需要 双引号 或是 单引号。 if (sq.ExecuteNonQuery(sql, paras) > )//把sql语句和所用到参数数组,一起传送到 ExecuteNonQuery 中去执行。
{
flag = true;
} return flag;
}
#endregion #region 删除员工信息
/// <summary>
/// 删除员工信息
/// </summary>
/// <param name="id">要删除员工的id</param>
/// <returns>返回真假值:如果是真显示删除成功,如果是假显示删除失败</returns>
public bool delete(string id)
{
bool flag = false; SqlParameter[] paras = new SqlParameter[]
{
new SqlParameter("@id", id)
}; string sql = "delete from person where id = @id";//记住,添加参数的时候,不需要 双引号 或是 单引号。 if (sq.ExecuteNonQuery(sql, paras) > )
{
flag = true;
} return flag;
}
#endregion #region 更改员工信息
/// <summary>
/// 更改员工信息
/// </summary>
/// <param name="id">要更改的员工编号</param>
/// <param name="name">要更改的员工姓名</param>
/// <param name="sex">要更改的员工性别</param>
/// <param name="salary">要更改的员工工资</param>
/// <returns>返回真假值:如果是真显示更改成功,如果是假显示更改失败</returns>
public bool update(string id, string name, string sex, string salary)
{
bool flag = false; SqlParameter[] paras = new SqlParameter[]//创建参数数组
{
new SqlParameter("@id", id),//我的理解:对参数数组赋值
new SqlParameter("@name", name),
new SqlParameter("@sex", sex),
new SqlParameter("@salary", salary)
}; //使用参数数组
string sql = "update person set [name] = @id, sex = @name, salary = @sex where id = salary";//记住,添加参数的时候,不需要 双引号 或是 单引号。 if (sq.ExecuteNonQuery(sql, paras) > )
{
flag = true;
} return flag;
}
#endregion #region 判断员工姓名是否重复
/// <summary>
/// 判断员工姓名是否重复
/// </summary>
/// <param name="name">要进行判断的员工姓名</param>
/// <returns>返回真假值:如果是真代表重复,如果是假进行添加</returns>
public bool repeat(string name)
{
bool flag = false; SqlParameter[] paras = new SqlParameter[]
{
new SqlParameter("@name", name)
}; string sql = "select * from person where [name] = @name";//记住,添加参数的时候,不需要 双引号 或是 单引号。 #region 下面这样写的话,还要重新建立一张虚拟表,如果直接用下面的方法,进行行数的判断就不需要建立。
//DataTable dt = sq.ExecuteQuery(sql); //if (dt.Rows.Count > 0)//dt.Rows.Count 这个方法是检查返回的虚拟表中是不是有数据,如果有的话则行数不为零。如果没有的话则行数为零。
//{
// flag = true;
//}
#endregion if (sq.ExecuteQuery(sql, paras).Rows.Count > )//dt.Rows.Count 这个方法是检查返回的虚拟表中是不是有数据,如果有的话则行数不为零。如果没有的话则行数为零。
{
flag = true;
} return flag;
}
#endregion
}
}

上面就是重构的第一版的代码,也就是第二版,其中如果有错误的地方,请在评论区帮忙指正。

上一篇:JAVA反射会降低你的程序性能吗?


下一篇:基于Python,scrapy,redis的分布式爬虫实现框架