参数化命令（防止SQL注入）

1. 参数化命令相关知识点：（防止SQL注入）
       DAL类：
	      public DataTable StudentDAL(string name,string gender)
		  {
		       string str="连接字符串"；
			   using (SqlConnection con=new SqlConnection(str))
			   {  
			        string sql="select * from student where studentName=@name and Gender=@gender";
					SqlCommand cmd=new SqlCommand();
					SqlParameter [] para=
					{ 
					          new SqlParameter=("@name",name)
					           new SqlParameter=("@gender",gender)
				    };
					cmd .Parameter.AddRange(para);
					SqlDataadapter da=new SqlDataadapter(cmd);
					DataSet dt=new DataSet();
					da.Fill();
					return.Table[0];
			   }
		  }
		 }
		 
2. 在C#中调用存储过程：
        --创建存储过程：
		  create proc usp_selectStudent
		  @studentName nvarchar（50）
		  as
		  select * from Student where StudentName=@studentName
		  GO
		--DAL类：
		  public DataTable GetStudentInfo(string name)
               {
			       string str="连接字符串";
				   using (SqlConnection con =new SqlConnection(str))
				   {
				      string sql="usp_selectStudent";
                      SqlDataadapter da=new SqlDataadapter(sql,con);
                      SqlCommand com=da .selectcommand;
                      //指定字符串为存储过程
                       com.CommandType=CommandType.StoredProcedure;
                       SqlParameter para=new SqlParameter("@name",name);
                       com.parameter.Add(para);
                       DataSet dt=new DataSet();
                       da.Fill();
                       return dt.Table[0];					   
				   }
			   }		  
		   

3. 在C#中调用带输出参数的存储过程：
            --创建存储过程：
            create pro usp_selectStudentCount
			@name nvarchar（50）
			@Gender nvarchar（50） output
			as
			select @Gender=count(*) from student where studentName=@name
			select * from Student where StudentName=@name
			GO
			
			DAL类：
			    public DataTable GetStudentCount(string name,string Gender)
				{  
				     string str="连接字符串"；
					 using(SqlConnection con=new SqlConnection)
					 {
					     string usp_selectStudentCount
						 SqlDataadapter da=new SqlDataadapter(sql,con);
						 SqlCommand com=da.selectcommand;
						 com.CommandType=CommandType.StoredProcedure;
						 SqlParameter [] para=
						 {
						     new SqlParameter("@name",name);
							 //设置为输出参数
							 new SqlParameter("@gender",gender);
						 }
						 //设置最后一个参数的输出方向
						 para[para.Legth-1].Direction=ParameterDiraction.output;
						 com.parameter.AddRange(para);
						 DataSet dt=new DataSet();
						 da.Fill(dt);
						 return Table dt.Table[0];
					 }
				}
				
				
	    多余：
            1: SQL语句通过字符串的构造技术动态创建，文本框的值被直接复制到字符串，
				     string sql="select * from Orders where CustomerID='"+txtID.Text+"'";
				
            2: string sql="select * from Orders where CustomerID='ALFKI' or '1'='1'";
			3: 删除Customers表中的全部行
			         "select * from Orders where CustomerID='ALFKI'；delete * from Customers";
			
			
 		存储过程的优点：
                :易于维护
                : 更安全的使用数据库
                ：提升性能