[转]强壮的DBHelper（2）

Version2.0：采用命名参数的形式。

public class DBHelper
    {
        SqlConnection cnn = new SqlConnection(@"server=.;uid=sa;pwd=;database=testDB;");
        public int ExecuteNonQuery(string sql, SqlParameter[] ps)
        {
            SqlCommand cmd = cnn.CreateCommand();
            cmd.CommandText = sql;
            cmd.Parameters.AddRange(ps);

            cnn.Open();
            int x = cmd.ExecuteNonQuery();
            cnn.Close();
            return x;
        }

        public DataTable GetTable(string sql, SqlParameter[] ps)
        {
            SqlCommand cmd = cnn.CreateCommand();
            cmd.CommandText = sql;
            cmd.Parameters.AddRange(ps);

            SqlDataAdapter da = new SqlDataAdapter(cmd);
            DataTable dt = new DataTable();
            da.Fill(dt);
            return dt;
        }

        public object GetScalar(string sql, SqlParameter[] ps)
        {
            SqlCommand cmd = cnn.CreateCommand();
            cmd.CommandText = sql;
            cmd.Parameters.AddRange(ps);

            cnn.Open();
            object obj = cmd.ExecuteScalar();
            cnn.Close();
            return obj;
        }
    }

这种方式良好的解决了上个版本存在的问题，即使输入“' or 1=1 --”，也只会作为参数的值，不会作为sql语句的一部分。

同样带来了新问题。

Sql语句事实上还是直接写入程序中了，如果要调整业务，哪怕字段名有些许变化，程序就得重新编译，重新部署。挺累的。

土鳖扛铁牛。

转载于:https://www.cnblogs.com/hxworm/articles/1968501.html