参数化查询  

  •  使用参数化查询的情景有很多,但最常用的情景是需要用户在查询中进行输入的情况。 

  有两种方法可供使用。第一,可以讲用户输入嵌入到查询字符串中,例如可能使用.NET Framework中的String.Format函数。  

  第二种方法是构造一种参数化查询。

       在开始时执行如下所示的基本查询: 

  

        select count(*) from UserInfo
        where UserName=‘{}’ and PassWord=‘{}’

  

       然后利用用户的输入构造如下查询:

1        select count(*) from UserInfo
2   
3
4      where UserName=‘myUserName’ and PassWord=‘myPassWord’’

    如果对正在执行的查询有一些了解,输入如下内容:NonUser' or 1=1 --,那么代码就会执行如下查询。

1        select count(*) from UserInfo
2   
3
4      where UserName=‘NonUser' or 1=1 --" and PassWord=‘myPassWord’’

  

    双连字符在SQL Server的查询语法中特别重要。它表示:该行后面的内容是注释。换句话说,and PassWord=‘myPassWord’被忽略了。

    现在,UserName=‘NonUser'并不成立,但where子句的另一半(1=1)对于所有行均成立。因此,该查询将成功执行。

  •     使用参数化查询。 

    代码示例:

        SqlConnectionStringBuilder connstr = new SqlConnectionStringBuilder();

             connstr.DataSource = "ZHANG-PC";

             connstr.InitialCatalog = "sq";

             connstr.IntegratedSecurity = true;

             using (SqlConnection conn = new SqlConnection(connstr.ConnectionString))
{ conn.Open(); SqlCommand cmd = new SqlCommand(); cmd.CommandText = "select count(*) from UserInfo where UserName=@username and PassWord=@password"; cmd.Parameters.AddWithValue("@username","zyb12345"); cmd.Parameters.AddWithValue("@password",""); cmd.Connection = conn; SqlDataReader read = cmd.ExecuteReader(); while (read.Read())
{ Console.WriteLine("userName:{0}", read.GetString()); } conn.Close(); }

   

 在ADO.NET中执行一个参数化查询,需要向Command对象的Parameters集合中添加Parameters对象。生成Parameters最简单的方法是:

  

调用SqlCommand对象的Parameters集合的AddWithValue函数。

      SqlCommand的Parameters集合中的AddWithValue方法。

       cmd.Parameters.AddWithValue("@username","zyb12345");

       cmd.Parameters.AddWithValue("@password","");

  

  或者

   

                 SqlParameter[] p = new SqlParameter[];

                 p[].ParameterName = "@username";

                 p[].Value = "zyb12345";

                 p[].ParameterName = "@password";

                 p[].Value = "";

                 cmd.Parameters.AddRange(p);

                 SqlDataReader read = cmd.ExecuteReader();        
  • 参数数据类型

   可以设置SqlParameters对象的SqlDbType属性,以控制在向SQL Server数据库中传递参数信息时所使用的数据类型,即SqlDbType枚举中的值。

SqlDbType的枚举值有:Int,DateTime,Bit,Money,Image,NVarChar等,在下面的示例中,NVarChar对应的是.NET中的string类型。size(即15)代表字符串的长度,可根据需要设置size的值。

                 SqlParameter p;
p = new qlParameter("@username",SqlDbType.NVarChar,1);
p.Value = "zyb12345";
  • 参数方向

在本例中Sqlparameters是输入参数,有时需要输出参数,这时就要设置SqlParameter的参数方向了。此时不需要设置Value属性。代码如下:

                 SqlParameter w;

                 w = cmd.Parameters.Add("@username", SqlDbType.NVarChar);

                 w.Direction = ParameterDirection.Output;                         //设置参数方向

                 cmd.ExecuteNonQuery();                                           //执行语句

                 Console.Write(w.Value);                             //获取输出值(执行完数据查询后才能获取Value值)

    

    

    

    

ADO.NET 参数化查询的更多相关文章

  1. SQL Server 2008 R2——VC++ ADO 操作 参数化查询

    ==================================声明================================== 本文原创,转载在正文中显要的注明作者和出处,并保证文章的完 ...

  2. 关于ADO.NET参数化查询的提问

    最近我们的正式环境一直在报错一个异常,首先我贴出来异常信息 BLL层 捕获到了请求的url Net.BLL.MobileFun MobileFun.GetBusinessBidPolicy 异常 传入 ...

  3. ADO.net参数化查询陷阱

    避免SQL漏洞注入攻击,往往采用的是参数化查询!然而在使用参数化查询中,往往为了方便就直接通过构造方法来进行数据的初始化了,然而这样就引发一个这样的问题,当参数值为0时,就出现参数为空的情况了. 一. ...

  4. C# SqlServer Ado.net参数化查询插入null数据

    DateTime? dt=null; if (dt.HasValue) { cmd.Parameters.AddWithValue("@CreateDateTime", dt); ...

  5. 第19课-数据库开发及ado.net ADO.NET--SQLDataReader使用.SqlProFiler演示.ADoNET连接池,参数化查询.SQLHelper .通过App.Config文件获得连接字符串

    第19课-数据库开发及ado.net ADO.NET--SQLDataReader使用.SqlProFiler演示.ADoNET连接池,参数化查询.SQLHelper .通过App.Config文件获 ...

  6. ADO学习笔记之注入漏洞与参数化查询

    ADO学习笔记之注入漏洞与参数化查询 作为新手,在学习ADO程序时,使用 sql 语言查询数据时,很容易写类似如下代码: using (SqlConnection con = new SqlConne ...

  7. (ADO.NET)SqlCommand参数化查询

    string strcon = "Persist Security Info=False;User id=sa;pwd=lovemary;database=student;server=(l ...

  8. SQL参数化查询

    参数化查询(Parameterized Query 或 Parameterized Statement)是指在设计与数据库链接并访问数据时,在需要填入数值或数据的地方,使用参数 (Parameter) ...

  9. SQL参数化查询自动生成SqlParameter列表

    string sql = @"INSERT INTO stu VALUES (@id,@name) "; 参数化查询是经常用到的,它可以有效防止SQL注入.但是需要手动去匹配参数@ ...

随机推荐

  1. Cocos2d-x shader学习2: 模糊(Blur)

    模糊效果在游戏中经常会用到,有的为了突出前景会把背景给模糊化,有的是因为一些技能需要模糊效果.模糊是shader中较为简单的一种应用.cocos2dx 3.x给的demo中,就有sprite的模糊的效 ...

  2. 提交Sublime Text 插件到Package Control

    最近写了一个lua智能提示的插件LuaSmartTips.这个插件一直都是自己一个人在用,昨天突然想把插件提交到Package Control,如果其他的人有这样的需求就可以直接安装. Package ...

  3. JS入门(五)

    前面提了很多JS的基础知识,像一些基本输出语句啊,JS中的关键字呐.然后是JS中的一些循环,数组之类的,在之后就是函数了.这些都是在JS中很基础的一些东西,在我刚开始学JS的时候,这些我就觉得很简单, ...

  4. 2243: [SDOI2011]染色

    2243: [SDOI2011]染色 Time Limit: 20 Sec  Memory Limit: 512 MBSubmit: 3113  Solved: 1204[Submit][Status ...

  5. Rabbitmq 性能测试

    背景: 线上环境,出了一起事故,初步定位是rabbitmq server. 通过抓包发现,是有多个应用使用同一台rabbitmq server.并且多个应用使用rabbitmq的方式也不一样.发现有以 ...

  6. Oralce Plsql 中文显示乱码问题无需修改注册表完美解决

    此方法在其它版系统也可以解决 win10-64 plsql oracle 11g绿色版客户端 错误现象: 因为oracle用的是绿色版,无法设置注册表,尝试以下方法. 解决方法: 1.在plsql中查 ...

  7. gradient渐变IE兼容处理

    根据caniuse(http://caniuse.com/#search=gradient),rgba兼容性为IE10以及以上浏览器. 实例代码: <!doctype html> < ...

  8. 网站优化记录-通过命令预编译Asp.net 网站,成功优化到毫秒级别。

    在去年一次项目上线时发现部署的站点首次访问跟回收后响应特别慢.(使用的是vs工具预编译的方式发布),在随后找到解决办法是通过命令预编译Asp.net 网站,成功解决站点响应在毫秒级别. 预编译 ASP ...

  9. 单发邮箱 群发邮箱 程序 Email winform

    using System;using System.Collections.Generic;using System.ComponentModel;using System.Data;using Sy ...

  10. crontab的定时任务不能自动执行,但是手动执行脚本一直能成功

    crontab 问题小记: 环境变量问题, 养成良好的习惯, 在脚本开头export PATH 原因是 crontab 执行定时任务时,用的不是系统环境变量,而是自己的环境变量,可以把 echo $P ...