java、C#中Sql语句传参的写法及意义

最新推荐文章于 2025-06-10 16:04:02 发布

turejackon

最新推荐文章于 2025-06-10 16:04:02 发布

阅读量3.3k

点赞数

CC 4.0 BY-SA版权

分类专栏： Java学习与应用 C# WinForm开发文章标签： sql c# java sqlserver insert

本文链接：https://blog.youkuaiyun.com/turejackon/article/details/5382288

C# WinForm开发同时被 2 个专栏收录

23 篇文章

订阅专栏

Java学习与应用

8 篇文章

订阅专栏

本文探讨了C#与Java中SQL参数化查询的方法及其优势，包括提升SQL语句性能、防止SQL注入等问题，并提供了具体的代码示例。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

Sqlserver这东西没少跟他打交道,刚学开发语言时就已经跟他接触了,不要说很精通,但就语法还算是熟悉,但现在开始写C#,发现很C#多了一种SqlServer的参数传入方式,以往我们常常对要传参的Sql语句都是直接通过拼凑Sql语句的方式来实现,但现在C#为什么要专门做一个Sql参数的类来实现呢,经过查找才知道,这样做是有道理的,一是可以优化SQL语句(在oracle的教程的类似的传参SQL语句是只会预编译一次,无论传入多少次参数,都只编译一次,这样是可以优化同一SQL语句频繁使用的情况,SQLSERVER中不知道有没这方面的优化,Sqlserver的存储过程只要有传入参,是不会一次编译的是多次编译......),二是可以检查传入参的数据类型,过滤非法字符...这样可以有效阻止SQL的注入式破解.具体写法如下.

C#:

cmdTmp1.CommandText="INSERT INTO SPDJ Message,TypeCode) VALUES (@p1,@p2)"; cmdTmp1.Parameters.Clear(); cmdTmp1.Parameters.Add(new SqlParameter("@p1",SqlDbType.VarChar,512)); cmdTmp1.Parameters["@p1"].Value="Hi"; cmdTmp1.Parameters.Add(new SqlParameter("@p2",SqlDbType.Int)); cmdTmp1.Parameters["@p2"].Value=2001; cmdTmp1.ExecuteNonQuery(); cmdTmp1.Parameters.Clear();

java:

PreparedStatement pstmt = con.prepareStatement("Insert into Spdj(Message,TypeCode) Values(?,?); pstmt.setString(1, "Hi"); pstmt.setInt(2, 2001); pstmt.execute();

后补于2013/08/15：

最近由于服务器不支持SqlConnection,又没法打补丁，所以使用OdbcConnection来进行连接数据库的操作，但在应用传参语句时出现如下问题：

语句：

string jsry = dr1["Ryzd_Ry_F"].ToString().Trim();       //接收人员
sqlse1 = "Insert Into Alarm_Bjxxb(Type_F,Ryzd_Js_F,SendTime_F,Content_F,DisPlay_F,Bz_F,LinkKey_F)"
       +" values('客户证照近效期',@p1,getDate(),@p2,'1','','"+serName+"')";
sqlCmd = new OdbcCommand(sqlse1, conn);
OdbcParameter par1 = new OdbcParameter("@p1", jsry);
sqlCmd.Parameters.Add(par1);
OdbcParameter par2 = new OdbcParameter("@p2", xmlString);
sqlCmd.Parameters.Add(par2);
sqlCmd.ExecuteNonQuery();

执行时错误提示如下：

[SQL Server] 必须声名变量 @p1
苦找了N久最后在网上发现，要把@p1，@p2改为?后才可正常执行，晕啊！

修改后Sqlse1如下：

sqlse1 = "Insert Into Alarm_Bjxxb(Type_F,Ryzd_Js_F,SendTime_F,Content_F,DisPlay_F,Bz_F,LinkKey_F)" +" values('客户证照近效期',?,getDate(),?,'1','','"+serName+"')";