带参数的Command的执行

最新推荐文章于 2021-12-15 11:09:41 发布

转载最新推荐文章于 2021-12-15 11:09:41 发布 · 268 阅读

0 ·

CC 4.0 BY-SA版权

原文链接：http://www.cnblogs.com/wangyhua/archive/2011/08/23/4050686.html

文章标签：

#python #数据库

本文介绍了使用SQL参数化查询的方法，包括单参数查询及多参数插入操作，并展示了如何通过SqlCommand对象及其Parameters集合来实现参数化，以提高SQL操作的安全性和效率。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

一个参数的执行：

string sqlstr = "select count(*) from Users where UserName = @Username";
//打开数据库连接
conn.Open();
//创建命令对象
SqlCommand cmd = new SqlCommand(sqlstr, conn);
//判断SqlCommand对象的ExecuteScalar方法返回的参数是否大于0，大于0说明用户已经存在
cmd.Parameters.AddWithValue("@Username", username);

多个参数的执行：

       //string sql = "insert into Users(UserName,UserSex,Password,Email,PassQuestion,PassAnswer) values( '" + userName + "','" + Sex + "','" + passWord + "','" + emailAddress + "','" + tishiQuesetion + "','" + tishiPassWord + "')";
        string sql ="insert into Users(UserName,UserSex,Password,Email,PassQuestion,PassAnswer) values(@username,@usersex,@password,@email,@passQuestion,@passAnswer)";
                conn.Open();
                SqlCommand cmd = new SqlCommand(sql, conn);
                cmd.Parameters.AddWithValue("@username", userName);
                cmd.Parameters.AddWithValue("@usersex", Sex);
                cmd.Parameters.AddWithValue("@password", passWord);
                cmd.Parameters.AddWithValue("@email", emailAddress);
                cmd.Parameters.AddWithValue("@passQuestion", tishiQuesetion);
                cmd.Parameters.AddWithValue("@passAnswer", tishiPassWord);
                if (Convert.ToInt32(cmd.ExecuteNonQuery()) > 0)
                {
                    Response.Write("<script>alert('恭喜你注册成功！')</script>");
                }
                else
                {
                    Response.Write("<script>alert('注册失败！')</script>");
                }
                conn.Close();