C# SQL语句中添加变量条件

UKnowNothing_

于 2018-12-04 12:40:46 发布

阅读量2.8k

点赞数

CC 4.0 BY-SA版权

分类专栏： C# 笔记文章标签： sql SQL变量 C# .net asp.net

本文链接：https://blog.youkuaiyun.com/Hello_Mr_X/article/details/84786607

C# 笔记专栏收录该内容

1 篇文章

订阅专栏

本文探讨了在数据库查询中直接拼接变量可能导致的SQL注入风险，并提供了使用字符串编码进行参数化查询的示例，强调了安全编程的重要性。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

string EncodingNameString = MD5(TmpNameString);
string EncodingPassString = MD5(TmpPassString);

string sql = "SELECT tname, tpassword FROM tUser WHERE tname = '"+EncodingNameString+"' AND tpassword = '"+EncodingPassString+"'";

emmm，其实不建议直接添加变量，会被SQL注入。