Question

我是C＃的初学者，我遇到了变量范围问题。所以...这里是我的代码，希望有人可以帮我找到一种方法来制作我的变量＆＃34; s＆＃34;可以在我的交换机/机箱中访问，然后在底部附近使用＆＃34; SqlCommand cmd = new SqlCommand（s，conn）;＆＃34;声明。如果这是不可能的，我想建议如何重新构建此代码和/或添加什么来获得＆＃34; s＆＃34;我在switch / case语句中提出 - 将该值下载到SqlCommand语句。我应该使用会话变量还是类？如果是这样，怎么/在哪里？哦，你会说我不需要这个：＆＃34;使用（StreamReader sr = new StreamReader（Request.InputStream，Encoding.UTF8））＆＃34; 谢谢！

这是我的ASPX页面中的代码：

＆＃13;

<%@ Page Language="C#" %>
<%@ Import Namespace="System.Collections.Generic" %>
<%@ Import Namespace="System.Data" %>
<%@ Import Namespace="System.Data.SqlClient" %>
<%@ Import Namespace="System.IO" %>
<%@ Import Namespace="System.Web.Script.Serialization" %>

<!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.0 Transitional//EN" "http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd">
<script runat="server">

   
protected void Page_Load(object sender, EventArgs ec)
{
    //level 01   
    using (SqlConnection conn = new SqlConnection("Database=db; User Id=user; password=pw"))
    {
        //level 02
        using (StreamReader sr = new StreamReader(Request.InputStream, Encoding.UTF8))
        {
            //level 03
            Response.ContentType = "text/plain";
            string s;
            string u = Request.QueryString["u"];
            if (u == "specificstring")
            {
                //level 04
                string sCmd = Request.QueryString["sCmd"];
                string IDCategory;
                string sCategory;
                string sDefaultEventSort;
                //string s;
                switch (sCmd)
                {
                    case "GetCategoryNames":
                        s = "SELECT";
                        //s += " Id";
                        s += " name";
                        //s += ", defaultSort";
                        s += " FROM Category";
                        s += " WHERE";
                        s += " (";
                        s += " ShowOnHomePage=1";
                        s += " AND IncludeInTopMenu=1";
                        s += " AND Published=1";
                        s += " )";
                        s += " ORDER BY name";
                        //s = "SELECT name FROM Category ORDER BY name";
                        break;
                    case "GetCategoryId":
                        sCategory = Request.QueryString["sCategory"];
                        s = "SELECT";
                        s += " Id";
                        s += " FROM Category";
                        s += " WHERE";
                        s += " (";
                        s += " [name]='" + sCategory + "'";
                        s += " )";
                        break;
                }

                try
                {
                    SqlCommand cmd = new SqlCommand(s, conn);
                    conn.Open();
                    SqlDataReader rdr = cmd.ExecuteReader(CommandBehavior.CloseConnection);
                    List<Dictionary<string, object>> list = new List<Dictionary<string, object>>();
                    while (rdr.Read())
                    {
                        Dictionary<string, object> d = new Dictionary<string, object>(rdr.FieldCount);
                        for (int i = 0; i < rdr.FieldCount; i++)
                        {
                            d[rdr.GetName(i)] = rdr.GetValue(i);
                        }
                        list.Add(d);
                    }
                    JavaScriptSerializer j = new JavaScriptSerializer();
                    Response.Write(j.Serialize(list.ToArray()));
                }
                catch (Exception e)
                {
                    Response.TrySkipIisCustomErrors = true;
                    Response.StatusCode = 500;
                    Response.Write("Error occurred. Query=" + s + "\n");
                    Response.Write(e.ToString());
                }
                //level 04
            }
            Response.End();
            //level 03
        }
        //level 02
    }
    //level 01
}
</script>

＆＃13;

Answer 1

您需要先初始化s，因为您的switch语句无法保证初始化s;

string s = string.empty;

或

string s = null;

或者您可以在switch语句中添加默认大小写，以确保初始化s：

default:
    s = string.Empty; //or some default sql query
    break;

更好的结构如下：

从第二级try/catch语句中取出using，然后在using块中包含try/catch个语句，换句话说，将try/catch设为try/catch父级别。没有错，现在SqlCommand块，只是你没有专门用它来捕获Exception个异常，你捕获任何try/catch并返回它的错误消息在您的HTTP响应中。因此，将try { StringBuilder sb = new StringBuilder(); //use sb to build the SQL string query using (SqlConnection conn = CreateSqlConnection(connString)) { using (SqlCommand command = CreateSqlCommand(sb.ToString(), conn) { //open connection + execute command } } { catch(Exception ex) { }包含在使用语句中的最高级别块。

StreamReader

为什么使用StringBuilder而不是连接字符串变量？因为C＃字符串是不可变的，这意味着每次连接到字符串时，C＃都必须创建字符串的副本。 StringBuilder是一个快速，可变的字符串对象，可以更快地构建你的sql字符串。

您不需要sr，您甚至没有在任何地方使用StreamReader，并且在using using语句中包装您的代码对{ {1}}陈述。

请注意@LukeBriggs在他的回答中提到的安全性问题，如果你使用存储过程传递参数或实体框架你可以减轻Sql注入攻击，我会说，但是，因为你刚学习，安全方面可能有点压倒性的，你没有安全问题需要担心，直到实际构建人们会使用的东西，你的软件必须“在雷达上”担心安全漏洞是你现在可以看到的一种方式，所以你可以继续学习而不会不知所措。

Answer 2

安全通知：在二次检查时，您的代码也容易受到数据库注入。您必须escape your values or use prepared queries。

你的范围概念似乎是正确的;大概你实际看到的错误是这样的：

错误CS0165：使用未分配的局部变量's'

这是因为你有使用s的代码流，其中没有设置任何值。比较一下：

string s; // No value declared just yet; only the type

if(u == "specificstring"){
   s="Something";
}

当你不 specificstring时应该是什么？它没有定义。这就是触发上述错误的原因 - 在您的情况下，特别是当sCmd不是您的交换机中的选项时。您可能知道它不能是其他任何东西，但编译器不会。将其与此相比：

string s=null; // A null value has been defined no matter what

if(u == "specificstring"){
   s="Something";
}

在这种情况下，当你不是null时，s是specificstring，这很好。同样，这也适用：

string s; // A null value has been defined no matter what

if(u == "specificstring"){
    s="Something";
}else{
    s=null;
}

但是你的代码有多种情况，其中s可能是未定义的，因此将其设置为null（或那些未指定的情况的其他值）会更容易。

C＃中的变量范围 - 使用会话或类？

2 个答案: