ADO.Net之SqlConnection，Sqlcommand的应用

一. SqlConnection对象。
使用SqlConnection类可以连接到SQL Server数据库。SqlConnection对象的主要属性和方法如下：
属性和方法 说明
属性 ConnectionString 连接字符串
方法 Open 打开数据库连接
Close 关闭数据库连接

连接数据库主要分以下3步：
1.1定义字符串。
我们可以使用Window身份验证和SQL Server身份验证2种方式连接到SQL Server数据库。
1）.Window验证连接字符串如下：

Server=(Local);Database=EduBaseDemo;Integrated Security=sspi;

说明：Server表示运行SQL Server的服务器，(Local)表示本地连接，也可以使用服务器名。Database表示使用的数据库名，这里所用的数据库为EduBaseDemo；Integrated Security为sspi表示使用集成的Window身份验证，也可以使用True和false来表示，这里sspi等价True。由于习惯我们统一使用sspi。
2）.使用SQL Server身份验证连接字符串如下：

Serve=（SQL Server的服器）;Database=EduBaseDemo;IntegratedSecurity=false
;uid=jsj;pwd=2wsx@WSX;

说明：uid为指定的数据库名，pwd为对应的密码；
1.2创建SqlConnection对象。
可以使用定义好的连接字符串创建SqlConnection对象，代码如下。

SqlConnection sqlConnection = new SqlConnection();

1.3打开数据库连接。
调用SqlConnection的Open()方法打开数据库，代码如下：

sqlConnection.Open();

注意：数据库连接使用完毕，调用SqlConnection的Close ()方法关闭数据库
sqlConnection.Close();为了避免忘记，我一般习惯敲完sqlConnection.Open();后立马敲个sqlConnection.Close();
2.1 try….catch…finally语句
当访问数据库的时候，可能会出现数据库服务器没有开启，连接中断等各种异常情况，为了使应用程序能处理这些突发情况，如下面代码:

这样就防止了注册用户已存在而是数据库插入数据异常引起的应用程序错误。
二. Sqlcommand对象
2.1 Sqlcommand对象用于执行具体的SQL语句，如增删改查等操作。Sqlcommand对象的几个重要方法如下：
方法 说明
ExecuteScalar 执行查询，并返回查询结果中第一列的值，类型是object
ExecuteNonQuery 执行SQL语句并返回受影响的行数
ExecuteReader 执行查询命令，返回SqlDataReader对象
2.2 Sqlcommand对象的使用步骤如下：
三. 1）创建Sqlcommand对象
按照上文介绍的方法创建SqlConnection对象。
2）定义SQL语句
将所要执行的SQL语句赋给字符串。代码如下

sqlCommand.CommandText ="SELECT COUNT(1) FROM tb_User"+ " WHERE No='" + this.txb_UserNo.Text.Trim() + "'"+ " AND Password= '" + this.txb_Password.Text.Trim() + "'";

注意：这种直接赋值很容易受到注入式攻击，如下图

没有输入正确密码而登录成功，通过输入一些字符而串改了原代码，我们来分析下为什么
SELECT COUNT(1) FROM tb_User WHERE No=3140707001 AND Password= ‘’ or 1=1;–
Or的优先级比AND 低，所以最终结果是恒为1；- -把后面的代码注释掉，这样就能注入式攻击，甚至还能删除你的数据库等更加恶劣的操作。
所以推荐使用用带参数的SQL语言代码如下：

sqlCommand.CommandText ="INSERT tb_User (No,Password) VALUES(@No,HASHBYTES ('MD5',@Password));";
sqlCommand.Parameters.AddWithValue("@No",this.txb_UserNo.Text.Trim());
sqlCommand.Parameters.AddWithValue("@Password", this.txb_Password.Text.Trim());
sqlCommand.Parameters["@Password"].SqlDbType = SqlDbType.VarChar;

这样就能避免这些。
3）创建Sqlcommand对象
我们可以调运Sqlcommand类的构造方法创建Sqlcommand对象，传入2个参数，即SQL语句和Sqlcommand对象代码如下：

SqlCommand sqlCommand = sqlConnection.CreateCommand();

4）调用Sqlcommand对象的某个方法，执行SQL语句。
注意：在调用Sqlcommand对象的方法之前，一定要打开数据库连接。
下面是用户注册的代码：

思维导图如下：