参数只能用在查询、插入、删除、值中,不能用在表名、字段名上
using(sqlcommand cmd=new sqlCommand())
{
cmd.commandtext="select * form a where a1=@a1 and a2=@a2";
cmd.parameters.add(new sqlparameter(@a1,"aa"));
cmd.parameters.add(new sqlparameter(@a2,"bb"));
}
本文探讨了在SQL查询中使用参数化查询的方法,以防止SQL注入攻击。通过实例展示了如何在C#中使用SqlParameter来安全地传递参数,避免直接拼接字符串带来的安全隐患。
参数只能用在查询、插入、删除、值中,不能用在表名、字段名上
using(sqlcommand cmd=new sqlCommand())
{
cmd.commandtext="select * form a where a1=@a1 and a2=@a2";
cmd.parameters.add(new sqlparameter(@a1,"aa"));
cmd.parameters.add(new sqlparameter(@a2,"bb"));
}
3338
429

被折叠的 条评论
为什么被折叠?