C#与MSSQL存储过程/参数化查询

已于 2023-06-15 23:55:54 修改
阅读量2.4k 收藏 5
点赞数 1
文章标签： c# sqlserver 数据库
于 2023-06-15 23:52:01 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.youkuaiyun.com/book_dw5189/article/details/131237332
版权

存储过程和参数化查询是在数据库中执行操作时非常有用的概念和技术。它们可以提高数据库操作的性能、安全性和可维护性。下面我将详细介绍存储过程和参数化查询的概念以及在C#中如何使用它们。(ChatGPT编写)

<一>存储过程：

  • 存储过程是在数据库中预先定义的一组SQL语句，它们可以接受输入参数、执行特定的操作，并返回结果集或输出参数。
  • 存储过程可以封装复杂的业务逻辑，并在需要时通过简单的调用来执行这些逻辑。
  • 存储过程可以被多个应用程序共享和重用，提高了代码的复用性和可维护性。

在C#中使用存储过程的步骤如下：

  1. 创建存储过程：在数据库中使用SQL语句创建存储过程。
  2. 在C#代码中调用存储过程：使用SqlCommand对象设置存储过程名称，指定命令类型为StoredProcedure，并将参数传递给存储过程。
  3. 执行存储过程：使用ExecuteNonQuery()方法执行存储过程，或使用ExecuteReader()、ExecuteScalar()等方法执行存储过程并获取结果。

下面是一个示例，演示如何在C#中使用存储过程：

using System;
using System.Data;
using System.Data.SqlClient;

namespace StoredProcExample
{
    class Program
    {
        static void Main(string[] args)
        {
            string connectionString = "Data Source=YourServer;Initial Catalog=YourDatabase;User ID=YourUsername;Password=YourPassword";

            using (SqlConnection connection = new SqlConnection(connectionString))
            {
                connection.Open();

                // 创建存储过程
                string createProcedureQuery = @"
                    CREATE PROCEDURE GetPersons
                    AS
                    BEGIN
                        SELECT * FROM Persons;
                    END";
                using (SqlCommand createProcedureCommand = new SqlCommand(createProcedureQuery, connection))
                {
                    createProcedureCommand.ExecuteNonQuery();
                    Console.WriteLine("Stored procedure created successfully.");
                }

                // 调用存储过程
                using (SqlCommand callProcedureCommand = new SqlCommand("GetPersons", connection))
                {
                    callProcedureCommand.CommandType = CommandType.StoredProcedure;

                    using (SqlDataReader reader = callProcedureCommand.ExecuteReader())
                    {
                        while (reader.Read())
                        {
                            int id = reader.GetInt32(0);
                            string name = reader.GetString(1);
                            int age = reader.GetInt32(2);
                            Console.WriteLine("Id: {0}, Name: {1}, Age: {2}", id, name, age);
                        }
                    }
                }

                connection.Close();
            }

            Console.WriteLine("Press any key to exit...");
            Console.ReadKey();
        }
    }
}

在这个示例中，首先使用SQL语句创建了一个名为GetPersons的存储过程。然后，在C#代码中通过创建SqlCommand对象，并将CommandType设置为StoredProcedure，指定存储过程的名称为GetPersons。最后，通过ExecuteReader()方法执行存储过程并读取结果。

--------------------

当涉及到复杂的数据库操作和业务逻辑时，存储过程是一种非常有用的工具。它可以将一系列SQL语句和逻辑组织在一起，并存储在数据库中，供应用程序调用和执行。以下是一些关于存储过程的进一步说明：

  1. 优点：

    • 提高性能：存储过程可以在数据库服务器上预编译和缓存，从而提高查询的执行速度。
    • 降低网络流量：通过调用存储过程，只需要传递参数和返回结果，而不是每次发送完整的SQL查询语句，减少了网络传输的数据量。
    • 安全性：存储过程可以通过权限控制来限制对数据库的访问，提供更高的安全性。
    • 可维护性：存储过程将业务逻辑集中在数据库中，使得维护和修改变得更加容易。

  2. 参数传递：

    • 存储过程可以接受输入参数和输出参数。
    • 输入参数用于向存储过程传递值，供存储过程内部使用。
    • 输出参数用于存储过程执行完毕后返回的值，供应用程序使用。

  3. 返回结果：

    • 存储过程可以返回一个或多个结果集，也可以返回一个或多个输出参数。
    • 结果集可以是查询语句的结果，也可以是存储过程内部逻辑计算的结果。

  4. 控制流程：

    • 存储过程支持条件判断和循环等流程控制结构，可以根据特定的条件执行不同的SQL语句或逻辑。
    • 存储过程还支持异常处理和错误处理，可以捕获和处理数据库操作中的异常情况。

  5. 示例： 下面是一个简单的存储过程示例，用于根据年龄范围查询Persons表中的数据：

CREATE PROCEDURE GetPersonsByAgeRange
    @minAge INT,
    @maxAge INT
AS
BEGIN
    SELECT * FROM Persons WHERE Age >= @minAge AND Age <= @maxAge;
END

 在C#中调用这个存储过程的代码示例：

using (SqlConnection connection = new SqlConnection(connectionString))
{
    connection.Open();

    using (SqlCommand command = new SqlCommand("GetPersonsByAgeRange", connection))
    {
        command.CommandType = CommandType.StoredProcedure;
        command.Parameters.AddWithValue("@minAge", 20);
        command.Parameters.AddWithValue("@maxAge", 30);

        using (SqlDataReader reader = command.ExecuteReader())
        {
            while (reader.Read())
            {
                int id = reader.GetInt32(0);
                string name = reader.GetString(1);
                int age = reader.GetInt32(2);
                Console.WriteLine("Id: {0}, Name: {1}, Age: {2}", id, name, age);
            }
        }
    }

    connection.Close();
}

 在这个示例中，存储过程接受两个输入参数@minAge和@maxAge，然后根据这些参数执行查询并返回结果集。

--------

存储过程是一组预编译的数据库操作语句，可以在数据库中定义和存储，并通过名称进行调用和执行。存储过程具有以下特点和优势：

  1. 预编译和优化：

    • 存储过程在创建时进行预编译，并生成执行计划，以提高查询的执行效率。
    • 预编译过程包括语法验证、访问权限检查和查询计划生成等步骤。
    • 这样，在每次执行存储过程时，都可以重复使用已编译和优化的执行计划，从而减少执行时间和资源消耗。

  2. 提高性能：

    • 存储过程的预编译和优化过程可以减少数据传输和网络延迟，提高查询的执行速度。
    • 存储过程还可以减少客户端与数据库服务器之间的通信次数，从而减轻网络负担。

  3. 数据库逻辑封装：

    • 存储过程将一系列数据库操作封装为一个单元，并将其保存在数据库中，使得逻辑和业务层面的操作更加清晰和模块化。
    • 存储过程还可以实现复杂的业务逻辑，包括条件判断、循环和错误处理等。

  4. 安全性和权限控制：

    • 存储过程可以使用数据库的权限系统来限制用户对数据库的访问和操作。
    • 存储过程允许数据库管理员授予或撤销用户对特定存储过程的执行权限。

  5. 代码重用和维护性：

    • 存储过程可以在不同的应用程序中重用，避免了重复编写相同的数据库操作逻辑。
    • 如果需要修改数据库操作逻辑，只需修改存储过程的定义，而不需要修改应用程序代码。

 以下是一个示例存储过程，用于插入一条记录到Persons表中：

CREATE PROCEDURE InsertPerson
    @name VARCHAR(50),
    @age INT
AS
BEGIN
    INSERT INTO Persons (Name, Age) VALUES (@name, @age)
END

 通过使用存储过程，可以在C#代码中调用该存储过程来执行插入操作：

using (SqlConnection connection = new SqlConnection(connectionString))
{
    connection.Open();

    using (SqlCommand command = new SqlCommand("InsertPerson", connection))
    {
        command.CommandType = CommandType.StoredProcedure;
        command.Parameters.AddWithValue("@name", "John");
        command.Parameters.AddWithValue("@age", 30);

        int rowsAffected = command.ExecuteNonQuery();
        Console.WriteLine("Rows Affected: " + rowsAffected);
    }

    connection.Close();
}

在这个示例中，首先通过SqlCommand对象创建对存储过程的调用，并指定存储过程的名称。然后，通过AddWithValue方法添加存储过程的参数。最后，通过ExecuteNonQuery方法执行存储过程，并获取受影响的行数。

通过学习和掌握存储过程的概念和用法，你可以在数据库层面实现更复杂的业务逻辑，并通过调用存储过程来执行这些逻辑。这将提高数据库操作的效率、可维护性和安全性。

---------------------

<二>参数化查询：

  • 参数化查询是一种通过将参数值与查询语句分离来执行SQL查询的方法，以避免SQL注入攻击，并提高查询的性能和安全性。
  • 参数化查询使用特殊的占位符（如@parameterName）来代表参数，然后通过将参数值分配给占位符来执行查询。

在C#中使用参数化查询的步骤如下：

  1. 创建带有参数的SQL查询：在查询语句中使用占位符来表示参数。
  2. 在C#代码中设置参数：使用SqlParameter对象设置参数的名称、数据类型和值，并将其添加到SqlCommand对象的Parameters集合中。
  3. 执行查询：使用ExecuteNonQuery()、ExecuteReader()、ExecuteScalar()等方法执行查询，并获取结果。

下面是一个示例，演示如何在C#中使用参数化查询：

using System;
using System.Data.SqlClient;

namespace ParameterizedQueryExample
{
    class Program
    {
        static void Main(string[] args)
        {
            string connectionString = "Data Source=YourServer;Initial Catalog=YourDatabase;User ID=YourUsername;Password=YourPassword";

            using (SqlConnection connection = new SqlConnection(connectionString))
            {
                connection.Open();

                // 参数化查询
                string query = "SELECT * FROM Persons WHERE Age > @age";
                using (SqlCommand command = new SqlCommand(query, connection))
                {
                    command.Parameters.AddWithValue("@age", 25);

                    using (SqlDataReader reader = command.ExecuteReader())
                    {
                        while (reader.Read())
                        {
                            int id = reader.GetInt32(0);
                            string name = reader.GetString(1);
                            int age = reader.GetInt32(2);
                            Console.WriteLine("Id: {0}, Name: {1}, Age: {2}", id, name, age);
                        }
                    }
                }

                connection.Close();
            }

            Console.WriteLine("Press any key to exit...");
            Console.ReadKey();
        }
    }
}

参数化查询是一种通过将查询参数与SQL语句分离的技术，用于执行数据库查询操作。它的主要目的是提高查询的安全性和性能。下面是对参数化查询的进一步说明：

  1. 防止SQL注入攻击：

    • SQL注入是一种常见的安全漏洞，攻击者通过在用户输入中插入恶意的SQL代码来破坏数据库的完整性和保密性。
    • 使用参数化查询可以有效地防止SQL注入攻击，因为参数值会被正确地转义和处理，而不是直接将其嵌入到SQL语句中。

  2. 提高性能：

    • 参数化查询可以在数据库服务器上进行查询的缓存和重用，从而提高查询的执行速度。
    • 当执行多次相同的查询，只有参数值不同的情况下，参数化查询可以减少数据库服务器上的查询计划生成和编译过程。

  3. 使用参数化查询的步骤： 以下是在C#中使用参数化查询的一般步骤：

    • 构建带有参数的SQL查询：在SQL查询语句中使用占位符（如@parameterName）来表示参数。
    • 创建SqlCommand对象：使用带有占位符的SQL查询语句创建SqlCommand对象。
    • 设置参数：为每个占位符创建一个SqlParameter对象，并将其添加到SqlCommand对象的Parameters集合中，设置参数名称、数据类型和值。
    • 执行查询：使用ExecuteNonQuery()、ExecuteReader()、ExecuteScalar()等方法来执行查询，并获取结果。

以下是一个使用参数化查询的示例：

using (SqlConnection connection = new SqlConnection(connectionString))
{
    connection.Open();

    string query = "SELECT * FROM Persons WHERE Age > @age";

    using (SqlCommand command = new SqlCommand(query, connection))
    {
        command.Parameters.AddWithValue("@age", 25);

        using (SqlDataReader reader = command.ExecuteReader())
        {
            while (reader.Read())
            {
                int id = reader.GetInt32(0);
                string name = reader.GetString(1);
                int age = reader.GetInt32(2);
                Console.WriteLine("Id: {0}, Name: {1}, Age: {2}", id, name, age);
            }
        }
    }

    connection.Close();
}

在这个示例中，查询语句中使用了一个占位符@age来表示参数。然后，使用AddWithValue方法创建一个SqlParameter对象，将参数名称设置为@age，并将参数值设置为25。最后，通过ExecuteReader()方法执行查询，并读取结果。

通过学习和应用参数化查询的概念和技术，你可以提高数据库查询的安全性，同时优化查询的性能和可维护性。

当使用参数化查询时，需要注意以下几点：

  1. 使用适当的数据类型：

    • 确保使用与数据库中列的数据类型相匹配的参数类型。例如，如果在数据库中的列是整数类型（INT），则参数的数据类型应为SqlDbType.Int。
    • 使用正确的数据类型可以确保查询的准确性，并防止出现数据类型不匹配的错误。

  2. 明确指定参数的大小：

    • 对于字符串类型的参数，需要明确指定其大小，以便与数据库中的列匹配。
    • 如果参数的值超过了指定的大小，将会发生截断或溢出。

  3. 显式指定参数的方向：

    • 参数可以是输入参数、输出参数或输入输出参数。
    • 对于输入参数，将值传递给查询。对于输出参数，查询将返回一个值给应用程序。而对于输入输出参数，既可以将值传递给查询，又可以从查询中获取返回值。
    • 在创建参数时，使用SqlParameter对象的Direction属性显式指定参数的方向。

下面是一个使用参数化查询的示例，演示如何插入一条记录到Persons表中：

using (SqlConnection connection = new SqlConnection(connectionString))
{
    connection.Open();

    string query = "INSERT INTO Persons (Name, Age) VALUES (@name, @age)";

    using (SqlCommand command = new SqlCommand(query, connection))
    {
        command.Parameters.AddWithValue("@name", "John");
        command.Parameters.AddWithValue("@age", 30);

        int rowsAffected = command.ExecuteNonQuery();
        Console.WriteLine("Rows Affected: " + rowsAffected);
    }

    connection.Close();
}

在这个示例中，使用参数化查询将一条记录插入到Persons表中。通过AddWithValue方法创建了两个参数：@name和@age。然后，通过ExecuteNonQuery方法执行插入操作，并获取受影响的行数。

参数化查询是一种安全且可靠的方法，可以防止SQL注入攻击，并提高数据库查询的性能和可维护性。通过掌握参数化查询的使用方法和注意事项，可以更好地保护数据库和应用程序的数据。

当使用参数化查询时，以下是一些进一步的解释和注意事项：

  1. 避免拼接字符串：

    • 参数化查询是一种避免拼接字符串的方法，以减少语法错误和SQL注入攻击的风险。
    • 不要将用户输入直接拼接到SQL查询字符串中，而是使用参数来代替用户输入的值。

  2. 显式指定参数的数据类型：

    • 在创建参数时，应显式指定参数的数据类型，以确保与数据库中的列类型匹配。
    • 可以使用SqlParameter对象的SqlDbType属性或DbType属性来设置参数的数据类型。

  3. 使用命名参数：

    • 命名参数是一种通过名称引用参数的方法，而不是通过位置。
    • 在SQL查询中使用命名参数，可以提高查询的可读性和可维护性。
    • 在C#中，使用@parameterName的形式来表示命名参数。

  4. 参数化查询的性能：

    • 参数化查询可以提高查询的性能，特别是在需要多次执行相同查询的情况下。
    • 参数化查询可以减少数据库服务器上的查询计划生成和编译过程，从而提高查询的执行效率。

  5. 重用SqlCommand对象：

    • 在执行多个参数化查询时，可以重用同一个SqlCommand对象，只需更新参数的值即可。
    • 这样可以减少对象的创建和销毁开销，提高代码的性能和效率。

总结起来，参数化查询是一种安全和可靠的数据库查询方法，可以防止SQL注入攻击，提高性能，并增加代码的可读性和可维护性。通过熟悉参数化查询的使用方法，并遵循最佳实践，你可以更好地保护数据库和应用程序的数据，并提高查询操作的效率。

铁松溜达py
关注
C#操作MySQL从入门到精通(5)——查询数据
qq_34059233的博客
04-06 1099
在和MySql数据库交互的过程中，查询数据是使用最频繁的操作，本文详细介绍了查询数据的各种操作，包括查询一列数据、查询两列数据、查询所有列数据、查询不重复的数据、查询指定行数据，绝对是C#操作MySql数据库史上最详细教程，能够帮助小白快速入门以及将这些功能迅速应用到实际项目中。本文操作的数据库名：“test_database”，表名：“student_info”，一共有三列分别为student_age 、student_name、student_address。
C#做的"参数化查询"
10-19
C#做的"参数化查询"很简单的小程序,让你一看就会....
C#使用SQL存储过程完整流程
数据库天地
12-09 296
唉，只怪自己学术不精，现在才学习SQL存储过程，从网上找了不少资料，可是很凌乱，定位也比较高，不适合我这样的小菜学习，现在我就来总结一下C#使用SQL存储过程完整的流程，以SQL2005为例。 先简单的说说什么是存储过程：存储过程就是固化在SQL数据库系统内部的SQL语句，这样做的好处是可以提高执行效率、提高数据库的安全性、减少网络流量。接下来就讲解如何在数据库中建立一个存储过程。 打开SQL...
C#进阶之路：SQL注入的深度剖析与完美解决方案
最新发布
远程部署调试 运行安装 项目调试 二次开发 项目技术新 持续迭代 部分源码免费分享
03-21 869
SQL 注入作为网络安全领域的一大隐患，其危害不容小觑。从原理上看，它打破了数据与代码分离的原则，通过精心构造的恶意输入，改变 SQL 查询语句的逻辑，从而实现非法的数据访问和操作。数字型注入、字符型注入、布尔盲注、时间盲注和报错注入等多种类型，让攻击者能够根据不同的场景和目标，选择最合适的攻击方式，这也使得 SQL 注入攻击更加难以防范。然而，我们并非束手无策。参数化查询、输入验证与过滤、最小权限原则、存储过程以及 ORM 工具等一系列防范措施，为我们构筑了一道坚固的防线。
sql存储
LJhhhnb的博客
08-08 263
1.查询前十条的四个SQL语句 --第一种 select top 10* from dbo.AdminInfo where AdminId not in(select top 10 AdminId from dbo.AdminInfo) --第二种 select top 10* from dbo.AdminInfo where AdminId>(select MAX(AdminId) f...
C#中调用SQL存储过程(带输入输出参数的例子)
weixin_33863087的博客
06-02 347
理论：  下面的CmdObj.是定义的SqlCommand对象 1、获得存储过程中return语句返回的整个存储过程函数的返回值: //获得存储过程return的值,定义一个参数,指明其作用是接受return的值    CmdObj.Parameters.Add("RETURN_VALUE", SqlDbType.Int).Direction =ParameterDirection.Retu...
在C#中使用存储过程
ie421.Net
04-19 2393
本文以Sql Server2000为例，示例数据库为china，表为test，来说明以C#中使用sql存储过程的方法。一、test表的创建sql语句：create table test55(uid int identity(1,1),class1 varchar(20),class2 varchar(20),uname varchar(20),birth smalldatetime,men
C#调用MySQL存储过程时参数传递问题解析
在C# 4.0中，通常使用`SqlCommand`对象，并通过参数化的方式将参数传递给存储过程，如使用`Parameters.AddWithValue`方法。 2. MySQL存储过程的定义 存储过程应该在MySQL数据库中已经定义好，并且其参数定义要与C#...
C#一键安装MySQL,C#监控MySQL服务状态
03-17
5. **安装MySQL**: 在C#应用中，可以通过调用MySQL安装程序的命令行参数来实现自动化安装。这通常涉及到使用System.Diagnostics.Process类来执行外部程序，并传递必要的安装参数。 6. **服务管理**: 在Windows操作...
C#与MySQL整合实现存储过程参数示例
以下是一个简单的示例，展示了如何在C#中调用MySQL存储过程，该存储过程接受IN和OUT参数。 首先，在MySQL中创建存储过程： ```sql DELIMITER $$ CREATE PROCEDURE GetProductDetails(IN productID INT, OUT ...
C# 将照片存储到MySQL数据库
10-09
总的来说，C#结合MySQL数据库进行照片存储涉及文件读取、数据库连接、SQL语句执行和参数化查询。这个过程对于开发涉及用户上传照片的应用程序非常常见，例如社交网络或个人博客系统。了解并掌握这些技术对于任何C#...
C#　查询参数化例子
10-28
C#查询参数化例子，里面详细讲解存储过程的使用。
C#执行SQL的存储过程
02-29
C#执行SQL的存储过程
[C#] 数据库 参数化 查询
ShanHaiyang
04-11 7962
为了数据库注入漏洞, 我们在对数据库进行查询的时候, 要使用参数化查询   using System; using System.Collections.Generic; using System.Linq; using System.Text; using System.Data.SqlClient; namespace 参数化查询 { class Program {
C#]参数化查询的一个重要问题
weixin_34195364的博客
08-01 337
C#]参数化查询的一个重要问题 使用参数化 DbCommand 的一个缺点是需要参数的代码将仅适用于支持相同语法的提供程序。OLEDB、SqlClient 和 Oracle 提供程序全部使用不同的语法。例如，用于命名和指定参数的 SQL 语法使用 @ 符号，OLEDB 参数语法需要使用问号 (?) 作为参数占位符，而 Oracle 提供程序使用冒号 (:)。 string ...
C#存储过程
weixin_30325487的博客
11-18 79
using System;using System.Data;using System.Data.SqlClient; 这是命名空间，不用多讲解了吧。 public class DAL //定义一个类{ string cnstr="data source=.;initial catalog=company;persist security info=False;us...
C#参数化SQL查询
weixin_30628801的博客
11-07 409
//写一个存储过程 ALTER PROCEDURE dbo.Infosearch ( @bmid smallint = null, @xm varchar(10)=null, @xb varchar(10)=null, @strage smallint=null, @endage smallint=null, ...
调用参数化存储过程
张磊的专栏
09-18 857
此示例显示如何传递参数和执行存储过程。示例Dim SprocCommand As New SqlClient.SqlCommandSprocCommand.Connection = dcNorthwindSprocCommand.CommandType = CommandType.StoredProcedureSprocCommand.CommandText = "CustOr
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值