Cómo consultar los nombres de columna dinámicamente utilizando Postgres/Npgsql

Question

Tengo un objeto de filtro para consultar una tabla con muchas columnas, y en lugar de escribir una condición que cubre todas las columnas (que permite la filtración opcional) así:

WHERE ((:value0 IS NULL) OR (column_name0 = :value0)) AND ((:value1 IS NULL) OR (column_name1 = :value1)) AND... etc 

para cada columna. En su lugar, me gustaría idealmente me gustaría ser capaz de pasar en el nombre del campo como un parámetro:

WHERE :column_name0 = :value0 AND column_name1 = :value1 AND... etc 

que no es posible ya que se requieren las columnas en tiempo de análisis (similar a esta respuesta given here) .

¿Cómo superar esto? - Realmente no quiero tener que mantener el SQL cuando se agregan o eliminan nuevas columnas (como tendrías que hacer en mi primer ejemplo) y creo que sería peligroso para mí construir los nombres de las columnas en la cadena de comandos directamente ya que esto podría permitir la inyección de sql.

Tenga en cuenta que este código está detrás de un servicio web.

Answer 1

Solo asegúrese de que los usuarios finales no puedan proporcionar los nombres de las columnas directamente y debe estar seguro al construir la consulta manualmente. Si necesita averiguar qué nombres de columna son válidos en tiempo de ejecución puede utilizar la siguiente consulta:

SELECT column_name 
FROM information_schema.columns 
WHERE table_schema='public' AND table_name='yourtablename' 

Answer 2

creo que la solución más fácil es construir la sentencia SQL sobre la marcha.

La inyección SQL no es posible si usa parámetros para los datos proporcionados por el usuario.

Answer 3

ejemplo:

NpgsqlCommand command = new NpgsqlCommand(SQL, Connection); 
     Npgsql.NpgsqlDataReader Resource = command.ExecuteReader(); 

     while (this.Resource.Read()) 
     { 
      for (int i = 0; i < this.Resource.FieldCount; i++) 
      { 
       string field = this.Resource.GetName(i).ToString(); 
      } 
     }