DbSet.SqlQuery(String, Object[]) Metoda

Tworzy nieprzetworzone zapytanie SQL, które zwróci jednostki w tym zestawie. Domyślnie zwracane jednostki są śledzone przez kontekst; Można to zmienić przez wywołanie asNoTracking po zwróconym DbRawSqlQuery . Należy pamiętać, że zwracane jednostki są zawsze typu dla tego zestawu i nigdy typu pochodnego. Jeśli tabela lub tabele, których dotyczy zapytanie, mogą zawierać dane dla innych typów jednostek, należy odpowiednio napisać zapytanie SQL, aby upewnić się, że zwracane są tylko jednostki poprawnego typu.

Podobnie jak w przypadku każdego interfejsu API, który akceptuje język SQL, ważne jest, aby sparametryzować wszelkie dane wejściowe użytkownika w celu ochrony przed atakiem polegającym na wstrzyknięciu kodu SQL. W ciągu zapytania SQL można uwzględnić symbole zastępcze parametrów, a następnie podać wartości parametrów jako dodatkowe argumenty. Wszystkie podane wartości parametrów zostaną automatycznie przekonwertowane na parametr DbParameter. Kontekście. Set(typeof(Blog)). SqlQuery("SELECT * FROM dbo. Wpisy WHERE Author = @p0", userSuppliedAuthor); Alternatywnie możesz również skonstruować parametr DbParameter i podać go do zapytania SqlQuery. Dzięki temu można używać nazwanych parametrów w ciągu zapytania SQL. Kontekście. Set(typeof(Blog)). SqlQuery("SELECT * FROM dbo. Wpisy WHERE Author = @author", new SqlParameter("@author", userSuppliedAuthor));