【两种DbParameter的使用方式】防止SQL注入 C# MVC

最新推荐文章于 2024-09-27 08:30:00 发布

Vincy.Zhang

最新推荐文章于 2024-09-27 08:30:00 发布

阅读量2.2k

点赞数

分类专栏： SQL 文章标签： sql 数据库

本文链接：https://blog.csdn.net/weixin_43041350/article/details/125668512

版权

SQL 专栏收录该内容

29 篇文章 2 订阅

订阅专栏

本文介绍两种SQL参数化方法：一是使用Dapper动态参数代替SQL拼接，通过具体实例展示了如何利用动态参数进行安全高效的数据库操作；二是使用DbParameter实现参数化查询，包括参数较少和参数较多时的具体操作步骤。

摘要由CSDN通过智能技术生成

1.第一种方法就是在使用conn的情况下，使用动态参数dapper来代替SQL拼接

conn.Open();
IDaction transaction = conn.BeginTransaction();//声明事务
var p = new DynamicParameters();
string sql="INSERT INTO table(name) Values (@Name)";
//这里的@Name就是下面的参数名
p.Add("@Name", id,dbType: DbType.Int32, direction: ParameterDirection.Output);
//p.Add(参数名，值，参数类型，输入类型)
connection.Execute(sql, p,translation);//执行
transaction.Commit();//事务提交
conn.Close();//关闭数据库链接

2.第二种方法就是使用DbParameter（在有database的情况下）
2.1 需要的参数不多的时候

DbParameter NameParameter = database.CreateParameter("name",name);
//创建参数，database.CreateParameter(参数名,值)
string sql = string.Format("insert into tablename(name) values({0})",NameParameter.ParameterName );
或者
string sql = "insert into tablename(name) values(@name)"//直接带入参数名
database.ExecuteForNonQuery(sql,NameParameter);
//带入参数，执行

2.2参数较多，则用一个List

List<DbParameter> list = new Dbparameter();
DbParameter NameParameter = database.CreateParameter("name",name);
//创建参数，database.CreateParameter(参数名,值)

//编写SQL
string sql = string.Format("insert into tablename(name) values({0})",NameParameter.ParameterName );
或者
string sql = "insert into tablename(name) values(@name)"//直接带入参数名

list.Add(NameParameter);
//把需要在sql中使用的参数添加到list里，最后执行的时候直接调用List

//执行
database.ExecuteForNonQuery(sql.ToString(),list.Array());