ASP.NET中如何实现动态模块化SQL更新，避免大量条件判断？

问题背景 #

我有一个关联数据库表的网页GridView，当前列更新查询代码如下：

if (oldName != NAME && oldCreated == DATE)
{
    GeneralDbExecuterService.executeSqlNonQuery(string.Format("UPDATE EXCEPTIONAL_USE_POLICY_PARAM SET NAME  = '{0}' WHERE ID = '{1}' ", NAME, ID));
}

// 仅日期字段被修改
if (oldCreated != DATE && oldName == NAME)
{
    GeneralDbExecuterService.executeSqlNonQuery(string.Format("UPDATE EXCEPTIONAL_USE_POLICY_PARAM SET CREATED_DATE = to_date('{0}', 'dd/MM/yyyy') WHERE ID = '{1}' ", DATE, ID));
}

// 两个字段均被修改
if (oldName != NAME && oldCreated != DATE)
{
    GeneralDbExecuterService.executeSqlNonQuery(string.Format("UPDATE EXCEPTIONAL_USE_POLICY_PARAM SET NAME  = '{0}', CREATED_DATE = to_date('{2}', 'dd/MM/yyyy') WHERE ID = '{1}' ", NAME, ID, DATE));
}

核心目标是检测哪些字段发生了变化，仅更新对应的列和值，但当前方式在新增字段时会产生大量条件判断（比如新增5个字段会有40多个条件），需要更模块化的动态处理方案。

核心解决方案 #

通过封装字段对比逻辑、动态拼接更新SQL的方式，彻底摆脱硬编码的条件判断，实现新增字段零成本扩展。

1. 定义字段对比项结构 #

先封装一个类来存储每个字段的关键信息，统一管理字段的新旧值、数据库列名和格式化规则：

public class FieldUpdateItem
{
    public string DbColumnName { get; set; } // 数据库表中的列名
    public object OldValue { get; set; } // 字段修改前的值
    public object NewValue { get; set; } // 字段修改后的值
    public Func<object, string> ValueFormatter { get; set; } // 值的数据库格式化逻辑（比如日期转to_date）
}

2. 构建字段对比列表 #

把所有需要检测的字段统一加入列表，新增字段时仅需添加一项即可：

var fieldUpdates = new List<FieldUpdateItem>
{
    new FieldUpdateItem
    {
        DbColumnName = "NAME",
        OldValue = oldName,
        NewValue = NAME,
        ValueFormatter = val => $"'{val}'" // 字符串类型值添加单引号
    },
    new FieldUpdateItem
    {
        DbColumnName = "CREATED_DATE",
        OldValue = oldCreated,
        NewValue = DATE,
        ValueFormatter = val => $"to_date('{val}', 'dd/MM/yyyy')" // 日期类型值转换为Oracle的to_date格式
    }
    // 新增字段时直接在此处添加新的FieldUpdateItem实例
};

3. 动态生成更新SQL #

遍历字段列表，自动筛选出值发生变化的字段，拼接成最终的UPDATE语句：

var setClauses = new List<string>();

foreach (var field in fieldUpdates)
{
    // 处理null值的对比，避免空引用异常
    bool hasChanged = field.OldValue != field.NewValue 
                      || (field.OldValue == null && field.NewValue != null)
                      || (field.OldValue != null && field.NewValue == null);
    
    if (hasChanged)
    {
        string formattedValue = field.ValueFormatter(field.NewValue);
        setClauses.Add($"{field.DbColumnName} = {formattedValue}");
    }
}

// 只有存在需要更新的字段时才执行SQL
if (setClauses.Any())
{
    string setPart = string.Join(", ", setClauses);
    string updateSql = $"UPDATE EXCEPTIONAL_USE_POLICY_PARAM SET {setPart} WHERE ID = '{ID}'";
    GeneralDbExecuterService.executeSqlNonQuery(updateSql);
}

4. 关键优化：防SQL注入 #

上述字符串拼接方式存在注入风险，建议改用参数化查询，调整代码如下：

// 调整FieldUpdateItem结构，支持参数化
public class FieldUpdateItem
{
    public string DbColumnName { get; set; }
    public object OldValue { get; set; }
    public object NewValue { get; set; }
    public string ParamName { get; set; } // 参数名，比如@Name
}

// 构建参数化的字段列表
var fieldUpdates = new List<FieldUpdateItem>
{
    new FieldUpdateItem { DbColumnName = "NAME", OldValue = oldName, NewValue = NAME, ParamName = "@Name" },
    new FieldUpdateItem { DbColumnName = "CREATED_DATE", OldValue = oldCreated, NewValue = DATE, ParamName = "@CreatedDate" }
};

var setClauses = new List<string>();
var parameters = new Dictionary<string, object>();

foreach (var field in fieldUpdates)
{
    if (field.OldValue != field.NewValue || (field.OldValue == null ^ field.NewValue == null))
    {
        setClauses.Add($"{field.DbColumnName} = {field.ParamName}");
        parameters.Add(field.ParamName, field.NewValue);
    }
}

if (setClauses.Any())
{
    string setPart = string.Join(", ", setClauses);
    string updateSql = $"UPDATE EXCEPTIONAL_USE_POLICY_PARAM SET {setPart} WHERE ID = @Id";
    parameters.Add("@Id", ID);
    // 假设你的执行服务支持参数化查询，调用对应的重载方法
    // GeneralDbExecuterService.executeSqlNonQuery(updateSql, parameters);
}

方案优势 #

• 模块化扩展：新增字段仅需添加一个FieldUpdateItem，无需修改任何条件判断逻辑
• 可维护性强：所有字段的更新规则集中管理，逻辑清晰易读
• 无扩展性瓶颈：支持任意数量的字段，不会出现条件判断爆炸的问题
• 安全性高：参数化查询彻底避免SQL注入风险

内容的提问来源于stack exchange，提问作者user20220054