埋め込みクエリには System.Text.StringBuilder を活用すべし ( ソフトウェア ) - 憂国なプログラマ

非常に多くの現場で、以下のような埋め込みクエリを見かけます。

Dim strSQL As String = _
    "SELECT c.id, c.code, c.name, c.zipcode, c.address, c.telphone FROM customer " & _
    "c WHERE c.id = " & id.ToString & " AND c.name LIKE '%" & name & "%' ・・・・"

これだとクエリが大きくなるほど可読性が低下する上、サーバーでログを見るとき

SELECT c.id, c.code, c.name, c.zipcode, c.address, c.telphone FROM customer ・・・・・

とすべて一行に繋がってしまい、クエリに問題があっても、どこに問題があるのかチェックしずらくなります。

しかし System.Text.StringBuilder をうまく使えば、クエリの可読性が劇的に向上し、サーバーに流れたクエリを拾う際も非常に見やすくなります。

Dim query As New System.Text.StringBuilder()
With query
    .AppendLine("SELECT ")
    .AppendLine("   c.id, ")
    .AppendLine("   c.code, ")
    .AppendLine("   c.name, ")
    .AppendLine("   c.zipcode, ")
    .AppendLine("   c.address, ")
    .AppendLine("   c.telphone ")
    .AppendLine("FROM ")
    .AppendLine("   customer ")
    .AppendLine("WHERE c.id = " & id.ToString & " ")
    .AppendLine("AND   c.name LIKE '%" & Name & "%' ")
    ・・・・
End With

さらにクエリの一行目にメソッド名をコメントとして設定すると、どのクラスのどのメソッドから投げられたのか、すぐ判るようになります。

Dim query As New System.Text.StringBuilder()
With query
    .AppendLine("-- CompanyName.TechnologyName.FeatureName.ClassName.MethodName")
    .AppendLine("SELECT ")
    .AppendLine("   c.id, ")
    .AppendLine("   c.code, ")
    .AppendLine("   c.name, ")
    .AppendLine("   c.zipcode, ")
    .AppendLine("   c.address, ")
    .AppendLine("   c.telphone ")
    .AppendLine("FROM ")
    .AppendLine("   customer ")
    .AppendLine("WHERE c.id = " & id.ToString & " ")
    .AppendLine("AND   c.name LIKE '%" & name & "%' ")
    ・・・・
End With

これならサーバーに流れるクエリは以下のようになり、大変保守しやすくなります。

-- CompanyName.TechnologyName.FeatureName.ClassName.MethodName
SELECT
　　c.id,
　　c.code,
　　c.name,
　　c.zipcode,
　　c.address,
　　c.telphone
FROM
　　customer
WHERE c.id = 24
AND　 c.name LIKE '%hogehoge%'

ただし上記のクエリは、セキュリティ上まだ不安が残ってます。以下のように SqlParameter クラスを使うと、SQLインジェクション対策ができます。

Dim query As New System.Text.StringBuilder()
With query
    .AppendLine("-- CompanyName.TechnologyName.FeatureName.ClassName.MethodName")
    .AppendLine("SELECT ")
    .AppendLine("   c.id, ")
    .AppendLine("   c.code, ")
    .AppendLine("   c.name, ")
    .AppendLine("   c.zipcode, ")
    .AppendLine("   c.address, ")
    .AppendLine("   c.telphone ")
    .AppendLine("FROM ")
    .AppendLine("   customer ")
    .AppendLine("WHERE c.id = @id ")
    .AppendLine("AND   c.name LIKE CONCAT( '%', @name, '%' ))
    ・・・・
End With

Dim command As New SqlCommand(query.ToString())
With command.Parameters
    .Add(New SqlParameter("id", id))
    .Add(New SqlParameter("name", name))
End With

要点をまとめると

１．埋め込みクエリは、& 演算子で結合せず、System.Text.StringBuilder を使う

２．StringBuilder.Append() ではなく StringBuilder.AppenLine() メソッドで改行を付けて結合する

３．一行目には、名前空間～クラス～メソッド名をコメントに加える

４．セキュリティ強化のため、SqlParameter を使ってクエリパラメータに値を渡すようにする

いかがでしょうか？
　

日	月	火	水	木	金	土
					1	2
3	4	5	6	7	8	9
10	11	12	13	14	15	16
17	18	19	20	21	22	23
24	25	26	27	28	29	30

日

月

火

水

木

金

土

憂国なプログラマ

全体表示