VB6と2008、SQL使用方法の違いについて

質問

最近VB2008を始めた初心者です。データベースはアクセスです。

これまでは、VB6.0にてデータベースへの書き込みを行う際は、VB6のＳＱＬを使用していました。１つのレコードに複数のフィールドがある場合も、以下のようなプロシージャを作成し処理の共有を行っておりました。

UserMaster!Name=Textbox1.Text
UserMaster!ID=Textbox2.Text
UserMaster!Collection1=Textbox3.Text
UserMaster!Collection2=Textbox4.Text
UserMaster!Collection3=Textbox5.Text　・・・

そして、VB2008に移行後はSQLステートメントを以下のようにそのまま使用しております。

cmnd.CommandText = "INSERT INTO Work (Id,Collection1,Collection2・・・) " & _
" VALUES ('" & Textbox1.Text & "','" & Textbox2.Text & "'," & Textbox3.Text & ・・・)"
cmnd.ExecuteNonQuery()

しかし、このようにコマンドテキストにて保存を行う場合、同一レコードに多数のフィールドがある場合、ステートメントが長文になってしまいます。

VB6のように保存処理を別にプロシージャにて実行させる方法は何かないでしょうか？
.NETでは根気よくコーディングしていくしかないのでしょうか？

アドバイス願います。m(_ _ )m

回答No.2

Yune-Kichi · ベストアンサー

> ＞まぁ，現在の常識として入力値をそのままSQL文として組み立てない，というのはありますが……。
> これはどういった意味なのでしょうか。具体的に説明して頂ければ幸いです。

入力値をそのまま使うと，SQL Injectionの可能性がでます。
例えば，Textbox1.Textが"','','', ... );DELETE FROM Work;--"だったような場合，DELETE FROM Workによってデータが削除されてしまいます。
SELECT系だと，条件式を無視するような記述方法も可能で，情報漏洩の原因になり得ます。
実際にSQL Injectionによる情報流出が疑われる事例はよく起きています。

こういうことを防ぐために，ADO.NETではデータをパラメータ化し，サーバー側でバインドさせます。
cmnd.CommandText = "INSERT INTO Work ( Id, Collection1, Collection2, ... ) VALUES ( @id, @collection1, @collection2, ... )"
cmnd.Parameters.Add("@id", SqlDbType.Int).Value = Int32.Parse(Textbox1.Text)
cmnd.Parameters.Add("@collection1", SqlDbType.VarChar, 64).Value = Textbox2.Text
...
cmdn.ExecuteNonQuery()

SQL インジェクション対策でプリペア－ドステートメントやバインド機構を使うことは，
10年近く前から言われていることなので，「現在の常識」と書きました。
もちろん，すべての入力値の文字種に制限があり，それがチェック済みで，
SQL Injectionを引き起こさないのであればバインドしなくてもよいのですが，
入力値の文字種の制限はアプリケーション側の制限であり，SQL Injectionを理由とする制限ではないため，
その場合であってもバインド機構を使うことが推奨されます。

お礼

パラメータ化についてのご説明とても参考になりました。
丁寧に書いて頂きありがとうございます。

回答No.1

Yune-Kichi

Visual BasicはRDBMSではないので，「VB6のSQL」は存在しないと思いますが……。

Visual Basic 7以降にもちゃんとメソッド (Sub/Function) は存在します。
クラスを受け付けて単一のSQLステートメントを実行するメソッドや，
IEnumerable<T>を受け付けて複数のSQLステートメントを実行するメソッドを作ることは多々あります。
後者はPrepareが使えるので，効率をよくする効果もあります。

----
まぁ，現在の常識として入力値をそのままSQL文として組み立てない，というのはありますが……。
# ADO.NETならパラメータ化してバインドさせる。

お礼

ご返答ありがとうございます。
ところで、

＞まぁ，現在の常識として入力値をそのままSQL文として組み立てない，というのはありますが……。

これはどういった意味なのでしょうか。具体的に説明して頂ければ幸いです。