SqlCommand 参数化输入SQL语句

最新推荐文章于 2021-05-14 15:51:25 发布

vslkyjnew

最新推荐文章于 2021-05-14 15:51:25 发布

阅读量6.8k

点赞数

分类专栏： C# Express 文章标签： sql homework exception insert delete file

本文链接：https://blog.csdn.net/vslkyjnew/article/details/4098749

版权

C# Express 专栏收录该内容

3 篇文章 0 订阅

订阅专栏

本文介绍了一种通过参数化方法构建SQL语句的方式，该方法不仅减少了SQL语句拼接错误的可能性，还有效防止了SQL注入攻击。文章详细展示了如何使用参数化SQL进行update操作，并提供了具体的代码实现。

摘要由CSDN通过智能技术生成

。。用参数化方法构建SQL语句，可以不用去拼接SQL语句，那样很容易出错

虽然我之前项目都是拼接的。。。汗中

其次还可以防止SQL语句注入，在我的项目里，update,delete,insert 和带条件的select 都使用了参数构建SQL语句，像"select * from table"之类的句子，就不用了。。。SqlCommand sqlcom =new SqlCommand( "update homework set tid=@tid,title=@title,content=@content where hid=@hid"); // string sqlcomd = "update homework set tid='" + tid + "',title='" + title + "',content='" + content +"' where hid='" + hid + "'"; sqlcom.Parameters.Add(new SqlParameter("@tid", tid)); sqlcom.Parameters.Add(new SqlParameter("@hid", hid)); sqlcom.Parameters.Add(new SqlParameter("@title", title)); sqlcom.Parameters.Add(new SqlParameter("@file", file)); SqlConnection conn = getConnection(); command.Connection = conn; try { conn.Open(); command.ExecuteNonQuery(); } catch (Exception ex) { throw ex; } finally { conn.Close(); command.Dispose(); } }