【讨论】关于数据层用不用存储过程封装的问题？

onano

语句在应用端的代码里
如果是网站就是网页的代码里
随便找了一个asp的代码如下，虽然是连sqlserver的，不过oracle应该也一样
——————————————————————
批量专辑操作
Function Topic_SetTopicMode
Dim TopModeID
If Request.form("mode")<>"" and IsNumeric(Request.form("mode")) Then
        TopModeID=Cint(Request.form("mode"))
Else
        ErrCodes=ErrCodes+"<li>"+template.Strings(2)
        Exit Function
End If
Dim ID
For I=1 To Request.Form("Announceid").Count
        ID=Replace(Request.Form("Announceid")(I),"'","")
        ID=CLng(ID)
        Dvbbs.Execute("Update Dv_Topic Set Mode="&TopModeID&" Where BoardID="&Dvbbs.BoardID&" And TopicID=" & ID)
Next
        SQL="insert into Dv_Log (L_AnnounceID,L_BoardID,L_ToUser,L_UserName,L_Content,L_IP,l_type) Values ("&Id&","&Dvbbs.BoardID&",'More','"&Dvbbs.Membername&"','批量专辑操作','"&Ip&"',3)"
        Dvbbs.Execute(SQL)
        sucmsg="<li>批量专辑操作成功。<li>您的操作信息已经记录在案。"
        Dvbbs.Dvbbs_suc(sucmsg)
End Function
——————————————————————————————————————————————

bobocici

楼上的哥们真逗，sql注入这样的问题都不考虑了？

newkid

原帖由 zhangfengh 于 2010-6-13 18:05 发表
select id,name,content from user;
这样一个sql也要封装在过程里？

按我的做法就是得用过程。
应用服务器看不到任何对象，只有一堆存储过程接口，这样最安全。SQL注入也执行不了。

ruideliang

简单sql放到页面上那说明系统设计有问题,页面应该做的是显示的功能,和数据库交互的应该放到数据层.简单sql放到数据库做储存过程封装,不敢苟同,因为此一场景对处理效率增加无几,反而在测试过程出现问题,测试需要跟踪到储存过程中去,这无疑问的增加了成本,我认为是无意义的.

newkid

现实世界中，很少有为SELECT而SELECT的。一个简单SQL后面往往跟有处理逻辑，然后又有其他SQL.
这样的一些东西，我认为就是应该做到存储过程里面。
当然，这个原则也是不容易坚持的。我到目前为止也只碰到两次机会贯彻这个原则。
但是哪怕在数据库之外写SQL, 权限也是要控制，原则就是只给最少的权限。

dingjun123

原帖由 newkid 于 2010-6-14 21:13 发表
现实世界中，很少有为SELECT而SELECT的。一个简单SQL后面往往跟有处理逻辑，然后又有其他SQL.
这样的一些东西，我认为就是应该做到存储过程里面。
当然，这个原则也是不容易坚持的。我到目前为止也只碰到两次机会贯彻这个原则。
但是哪怕在数据库之外写SQL, 权限也是要控制，原则就是只给最少的权限。

所以嘛，开发人员很多懂SQL，但是不懂PLSQL的原因就在于此了！

lei

这个问题，性能啊效率啊不是主要的理由吧，主要还是设计模式。
所谓的把SQL放在页面中，是JSP,ASP,PHP的那些做法吧，小打小闹的开发未尝不可，就是维护起来，项目越大越痛苦，想想那些像疯长的草一样拼接的SQL啊，肠子都是青的
楼主和newkid等诸位所说的，其实是把PLSQL当作业务逻辑封装的应用服务器层来使用的做法，这个抛开效率，从设计上是完全可行的。效率嘛，自己根据项目情况评估了。

lei

说句跑题的话，CTO与骨干的分歧，往往都是政治斗争，而不是技术路线的争议，至少某一方的出发点是这个。

onano

原帖由 bobocici 于 2010-6-13 17:13 发表
楼上的哥们真逗，sql注入这样的问题都不考虑了？

哥们，我就随便复制了一段别人网页上的代码作个例子，有必要这么挑刺吗，可惜了，我不是作者，要挑的话去给动网反映吧

[ 本帖最后由 onano 于 2010-6-30 14:52 编辑 ]

anran_guojianju

业务逻辑比较复杂，优化考虑存储过程，这样可以减少与DB的交换过程。因为我们只要最终结果，中间状态不需要。
单独一个SELECE或UPDATE就没有必要用PROC了。