Parameters用法

最新推荐文章于 2024-11-15 18:15:08 发布

原创最新推荐文章于 2024-11-15 18:15:08 发布 · 6.7k 阅读

1 ·

CC 4.0 BY-SA版权

文章标签：

#parameters #sql #email #insert #command #cmd

本文介绍了一种使用OLE DB Command对象及其参数化查询的方法来插入和更新数据库记录的过程。通过参数化可以有效防止SQL注入攻击，并确保数据的安全性和准确性。

SQL = "Insert Into titledetail (DETAILS_NAME, DETAILS_EMAIL, DETAILS_SUBJECT, DETAILS_CONTENT, TITLES_ID)Values (?, ?, ?, ?, ?)" '建立参数
        Cmd = New OleDbCommand(SQL, Conn) '建立Command对象
        '向SQL语句添加参数
        Cmd.Parameters.Add(New OleDbParameter("DETAILS_NAME", OleDbType.Char, 255))
        Cmd.Parameters.Add(New OleDbParameter("DETAILS_EMAIL", OleDbType.Char, 255))
        Cmd.Parameters.Add(New OleDbParameter("DETAILS_SUBJECT", OleDbType.VarChar))
        Cmd.Parameters.Add(New OleDbParameter("DETAILS_CONTENT", OleDbType.VarChar))
        Cmd.Parameters.Add(New OleDbParameter("TITLES_ID", OleDbType.Integer))
        '给参数赋值
        Cmd.Parameters(0).Value = Session("user_name")
        Cmd.Parameters(1).Value = DETAILS_EMAIL.Text
        Cmd.Parameters(2).Value = DETAILS_SUBJECT.Text
        Cmd.Parameters(3).Value = DETAILS_CONTENT.Text
        Cmd.Parameters(4).Value = TITLES_ID

        Cmd.ExecuteNonQuery()

        SQL = "Update titles Set TITLES_LASTPOSTDATE=Now(),TITLES_NUM=TITLES_NUM+1 Where TITLES_ID=" & TITLES_ID
        Cmd = New OleDbCommand(SQL, Conn)
        Cmd.ExecuteNonQuery()
        Conn.Close()