C# 中使用SqlParameter来防止sql注入

最新推荐文章于 2024-07-16 10:04:29 发布

原创最新推荐文章于 2024-07-16 10:04:29 发布 · 1.3k 阅读

0 ·

CC 4.0 BY-SA版权

ASP.NET 专栏收录该内容

2 篇文章

订阅专栏

本文展示了一个使用C#进行SQL参数化查询的例子。通过这个示例，读者可以了解到如何安全地构造SQL查询语句，并有效地从数据库中检索数据。

  using (SqlConnection conn = new SqlConnection("Data Source=.; Initial Catalog=MyTest;User ID=sa;Password=sa"))
            {
                conn.Open();
                using (SqlCommand cmd = conn.CreateCommand ())
                { 
                    cmd.CommandText = "select * from studentInfo where name=@Name or age>@Age";
                    cmd.Parameters.Add(new SqlParameter("@Name",txtName.Text));
                    cmd.Parameters.Add(new SqlParameter("@Age", txtAge.Text));
                    using (SqlDataReader reader = cmd.ExecuteReader())
                    {
                        while (reader.Read())
                        {
                            string  sName = reader.GetString(1);
                            MessageBox.Show(sName.ToString());
                        }
                    }
                }
            }