Как переработать код сервера?

Question

[Андрей Фомин]

Здравствуйте!
Имеется сервер и приложение, оба написаны языке С#, приложение отправляет sql-запросы на сервер, а сервер эти sql-запросы передаёт базе данных и они выполняются, у меня получилось реализовать работу с запросами, в которых содержатся INSERT и UPDATE, но не получается с SELECT.
Вот кусок кода сервера, где идет обработка sql-запроса с наличием SELECT:

if (message.Contains("SELECT"))
                        {
                            string rtrn = null;
                            SqliteConnection connect = new SqliteConnection("Data source = accounts.db");
                            connect.Open();
                            SqliteCommand command = new SqliteCommand(message, connect);
                            command.ExecuteNonQuery();
                            SqliteDataReader Reader = command.ExecuteReader();
                            while (Reader.Read())
                            {
                                rtrn = Reader["Password"].ToString();
                            }
                            Reader.Close();
                            byte[] nazad = Encoding.UTF8.GetBytes(rtrn);
                            stream.Write(nazad, 0, nazad.Length);
                        }

Меня интересует вот этот кусок:

SqliteDataReader Reader = command.ExecuteReader();
                            while (Reader.Read())
                            {
                                rtrn = Reader["Password"].ToString();
                            }
                            Reader.Close();

Как его можно изменить, чтобы тут не было указания Password?
И еще: нужно ли создавать 2 потока для отправки данных и получения данных или можно обойтись и одним, но очищенным после отправки?

Answer 1

[Владимир Коротенко]

Это просто имя столбца
Reader["Password"]

Ну используйте Reader[1] // или там какой он по порядку, в чем то проблема?

Comments

[Андрей Фомин]

Владимир Коротенко, в этом и проблема, что надо указывать имя столбца, есть ли какой нибудь способ, чтобы этого как раз не делать, чтобы считывание прошло без явного указания?

[freeExec]

Андрей Фомин, Это у вас получается, читай то, не знамо что.

[Владимир Коротенко]

Андрей Фомин, Хм по идее как то так. Но все же опишите подробней что вы хотите

https://zetcode.com/csharp/sqlite/

C# SQLiteDataReader

while (rdr.Read())
            {
                Console.WriteLine($"{rdr.GetInt32(0)} {rdr.GetString(1)} {rdr.GetInt32(2)}");
            }

[Владимир Коротенко]

Кстати до кучи. Sqlite на сервере очень дурной тон. Вот прям очень.
Я в своей практике использовал его 1 раз когда перегонял базу данных в оффлайн формат и отдавал ее на мобильники.
Причем эта база не использовалась на сайте.

[Андрей Фомин]

Владимир Коротенко, Смотрите
Сервер получает от приложения запрос, в котором есть SELECT, в моем конкретном случае это выглядит так:

"SELECT Password FROM users WHERE Login = '{TextBoxLogin.Text}'"

Но если сервер получит другой запрос с SELECT, например вот такой:

"SELECT CashAmount FROM users WHERE Login = '{MinusCash.Text}'"

То сервер проверит его на наличие или отсутствие SELECT и в базе данных будет обращаться к столбцу Password, поскольку он явно указан, вот я и хотел получить ответ, можно ли как-то при использовании SQLiteDataReader обойтись без явного указания или мне придется расписывать код для каждого столбца отдельно?

[Владимир Коротенко]

Андрей Фомин, Я бы сказал избегайте неоднозначности. Сиквел код заворачивайте в конкретные методы, и уже в них фильтруйте отдачу.

В общем случае любой метод содержащий условия подозрительный

[Андрей Фомин]

Владимир Коротенко, То есть проще говоря, к условию наличия SELECT надо будет давать еще несколько условий, чтобы конкретизировать, из какого столбца надо брать данные?

[Владимир Коротенко]

Псевдокод

var query = "select name, lastname, email from customer";
var result = dts.Select<NameModel>(query);


foreach(var item in result){
Console.WriteLine(item.Name);
Console.WriteLine(item.LastName);
Console.WriteLine(item.Email);
}

[Владимир Коротенко]

Андрей Фомин,

А вот реальный

#region License

// // Разработано: Коротенко Владимиром Николаевичем (Vladimir N. Korotenko)
// // email: [e-mail]
// // skype:vladimir-korotenko
// // https://vkorotenko.ru
// // Создано:  13.08.2020 18:06

#endregion

using System;
using System.IO;
using System.Linq;
using System.Threading.Tasks;
using Polly;
using SQLite;
using Xamarin.Essentials;

namespace SpecialForcesDirectory.Code
{
    public abstract class BaseContentDatabase
    {
        public static readonly string DatabasePath = Path.Combine(FileSystem.AppDataDirectory, Settings.DataBaseName);
        static readonly Lazy<SQLiteAsyncConnection> DatabaseConnectionHolder = new Lazy<SQLiteAsyncConnection>(() => new SQLiteAsyncConnection(DatabasePath, SQLiteOpenFlags.ReadWrite | SQLiteOpenFlags.Create | SQLiteOpenFlags.SharedCache));

        private static SQLiteAsyncConnection DatabaseConnection => DatabaseConnectionHolder.Value;


        protected static async ValueTask<SQLiteAsyncConnection> GetDatabaseConnection<T>()
        {
            if (DatabaseConnection.TableMappings.Any(x => x.MappedType == typeof(T))) return DatabaseConnection;
            // On sqlite-net v1.6.0+, enabling write-ahead logging allows for faster database execution
            await DatabaseConnection.EnableWriteAheadLoggingAsync().ConfigureAwait(false);
            await DatabaseConnection.CreateTablesAsync(CreateFlags.None, typeof(T)).ConfigureAwait(false);
            return DatabaseConnection;
        }

        public static Task<T> AttemptAndRetry<T>(Func<Task<T>> action, int numRetries = 10)
        {
            return Policy.Handle<SQLiteException>().WaitAndRetryAsync(numRetries, PollyRetryAttempt).ExecuteAsync(action);

            static TimeSpan PollyRetryAttempt(int attemptNumber) => TimeSpan.FromMilliseconds(Math.Pow(2, attemptNumber));
        }

        protected static async Task Close()
        {
            await DatabaseConnection.CloseAsync();
        }
    }
}

#region License

// // Разработано: Коротенко Владимиром Николаевичем (Vladimir N. Korotenko)
// // email: [e-mail]
// // skype:vladimir-korotenko
// // https://vkorotenko.ru
// // Создано:  04.05.2020 9:16

#endregion

using SpecialForcesDirectory.Code;
using SQLite;
using System.Collections.Generic;
using System.Threading.Tasks;

namespace SpecialForcesDirectory.Dbl
{
    public class SeriesRepository : BaseUserDatabase
    {
        private async Task<SQLiteAsyncConnection> GetConn()
        {
            return await GetDatabaseConnection<Favorite>().ConfigureAwait(false);
        }
        public async Task<IEnumerable<Series>> GetItems()
        {
            var conn = await GetConn();
            return await AttemptAndRetry(() => conn.Table<Series>().ToListAsync()).ConfigureAwait(false);
        }

        public async Task<Series> GetItem(int id)
        {
            var conn = await GetConn();
            return await AttemptAndRetry(() => conn.GetAsync<Series>(id)).ConfigureAwait(false);
        }

        public async Task<int> DeleteItem(int id)
        {
            var shoots = await GetShootsForSeries(id);
            var conn = await GetConn();
            foreach (var shoot in shoots)
            {
                await AttemptAndRetry(() => conn.DeleteAsync<Shoots>(shoot.Id)).ConfigureAwait(false);
            }
            return await AttemptAndRetry(() => conn.DeleteAsync<Series>(id)).ConfigureAwait(false);
        }

        public async Task<int> SaveItem(Series item)
        {
            var conn = await GetConn();

            if (item.Id == 0)
                return await AttemptAndRetry(() => conn.InsertAsync(item)).ConfigureAwait(false);
            await AttemptAndRetry(() => conn.UpdateAsync(item)).ConfigureAwait(false);
            return item.Id;
        }

        /// <summary>
        ///     Получение списка выстрелов.
        /// </summary>
        /// <param name="id"></param>
        /// <returns></returns>
        public async Task<IEnumerable<Shoots>> GetShootsForSeries(int id)
        {
            var conn = await GetConn();
            return await AttemptAndRetry(() => conn.Table<Shoots>()
                .Where(s => s.SeriesId == id)
                .OrderByDescending(o => o.Nr)
                .ToListAsync()).ConfigureAwait(false);
        }

        public async Task<int> InsertShootToSeries(Shoots item, int seriesId)
        {
            item.SeriesId = seriesId;
            var conn = await GetConn();
            return await AttemptAndRetry(() => conn.InsertAsync(item)).ConfigureAwait(false);
        }
        public async Task<int> DeleteShootFromSeries(int shootId)
        {
            var conn = await GetConn();
            return await AttemptAndRetry(() => conn.DeleteAsync<Shoots>(shootId)).ConfigureAwait(false);
        }
    }
}

[freeExec]

Андрей Фомин, Получать от клиента голый SQL это последнее дело, так и до DROP DATABASE один шаг.

[Developer]

freeExec, это называется sql-injection

[Роман]

Почитайте на досуге, что такое RestAPI и GraphQL. Да и пароли не стоит в открытом виде хранить в БД, Хэш функции вам в помощь.

[Роман]

Владимир Коротенко, SQlite еще не самое зло тут. ))))