创建ASP.NET数据存储层(3)

     使用 Visual Studio .net 2003 编写存储过程
  
  　　数据表定义了如何在数据库中存储数据，但没有说明如何存取数据。我们还需要了解读写记录以便从表中再次调用选定行和列的详细信息。开发人员通常会在其代码中编写一些特殊的查询语句，用于读写数据。这不仅会导致效率低下，还会带来安全性问题。在本应用中，所有数据存取工作都将通过 SQL Server 存储过程（stored procedures，有时称作“stored procs”或“sprocs”）来处理。使用存储过程可以提高解决方案的性能并使之更安全。此外，使用存储过程可以增加数据层的抽象级别，从而保护解决方案的其他部分不受小的数据布局和格式变化带来的影响。这样可使您的解决方案更可靠，更易于维护。
  
  　　为什么不使用特殊的查询语句
  
  　　我们经常会看到如下所示的文章和代码示例：
  
  Private Function GetSomeData(ByVal ID As Integer) As SqlDataReader
  Dim strSQL As String
  strSQL = "SELECT * FROM MyTable WHERE ID=" & ID.ToString()
  
  cd = New SqlCommand
  With cd
  .CommandText = strSQL
  .CommandType = CommandType.Text
  .Connection = cn
  .Connection.Open()
  Return .ExecuteReader(CommandBehavior.CloseConnection)
  End With
  End Function
  
  　　上述代码不符合要求的原因有以下几个。首先，如果将 SQL 查询语句嵌套在代码中，那么只要数据层发生任何变化，都必须编辑并重新编译代码层。这样就会带来诸多不便。还可能会导致其他错误，而且通常会造成数据服务和代码之间的混乱。
  
  　　其次，如果使用不经过输入验证的字符串连接 ("...WHERE ID=" & ID.ToString())，将可能使您的应用程序暴露在黑客的攻击之下。更重要的是，这样就会为恶意用户提供了在您的代码中添加其他 SQL 关键字的机会。例如，根据您的输入模式，恶意用户不仅可以输入 13 或 21 作为有效的表 ID，还可以输入 13; DELETE FROM USERS 或其他可能会带来危害的语句。完善的输入验证可以保护您的系统免受大多数 SQL 插入代码的攻击，所以最好将所有内置的 SQL 语句完全删除，使攻击者很难滥用您的应用程序数据。
  
  　　最后，内置 SQL 语句的执行速度要比存储过程慢得多。创建存储过程并将其存储到数据库中时，SQL Server 会对其文本进行评估并以优化的形式进行存储，从而使之更容易在运行时为 SQL Server 所用。如果使用内置的特殊查询语句，就必须在每次运行该代码之前进行这种评估。对于那些供大量用户使用的应用程序而言，每分钟就可能需要对同一查询语句进行数百次评估。
  
  　　相反，存储过程可以保持代码的简洁明了，可以提供额外的安全保护，并能提高解决方案的性能。这些都是摒弃内置查询语句而使用存储过程的原因。
  
  　　将存储过程添加到 Visual Studio .NET 数据库项目中
  
  　　使用 Visual Studio .NET 2003 创建存储过程非常简单。首先，您需要打开一个数据库项目。这一操作已在本文第一部分中完成。然后，您可以使用代码模板创建存储过程，也可以针对 Server Explorer（服务器资源管理器）窗口中连接的数据库，使用 Visual Studio .NET 2003 直接编辑新的存储过程。本文重点介绍如何针对连接的数据库服务器直接编辑存储过程。稍后会介绍如何为以后的远程服务器安装生成所有结果脚本。
  
  　　介绍使用 Visual Studio .NET 2003 编写存储过程的机制之前，还要重点强调一下与创建可靠的存储过程相关的几个一般问题。首先，最好将创建和执行存储过程的整个过程看作是多层应用程序模型的一个成熟成员。存储过程提供了一种对您的数据存取进行编程的方法。这样，您可以更好地控制整个解决方案并提高其效率。也就是说，应将存储过程集合看作是应用程序中一个独立的层。优秀的数据存取策略应允许存储过程作为独立的组件而存在。也就是说，存储过程层中需要具备安全性、错误处理以及其他构成优秀组件层的详细内容。更重要的是，应像在其他高级编程环境中那样访问 T-SQL 语言，而不是仅仅将其作为一种生成数据库查询的方式。
  
  　　注意：现在，我怀疑有些读者可能在想他们并不打算对 SQL Server 进行编程，或者认为这项工作最好留给那些 DBA 们来完成。虽然具备数据库管理员经验会有所帮助，但并一定非要成为火箭科学家（这里指技艺高超的编程专家）才能很好地完成 SQL Server 编程工作。像其他语言一样，这种语言也需要花费一定的时间并通过一定的实践才能熟练掌握，在这一点上它与其他语言并没有太大的不同。如果您能够在 Microsoft Visual Basic? .NET 中编程，也就能够在 T-SQL 中编程。
  

原文转自：http://www.ltesting.net