c#中sqlparameter类使用方法小结

《c#中sqlparameter类使用方法小结》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、.C#中SqlParameter类的使用方法小结在c#中执行sql语句时传递参数的小经验 1、直接写入法：     例如：            intId=1;            stringName="lui";            cmd.CommandText="insertintoTUserLoginvalues("+Id+",'"+Name+"')";       因为Id是数值，所以在传递的时候只需要在sql字符串中用"+Id+"即可实现，而  Name是字符串，所以在传递的时候还需要在"+Name+"两边各加一个单引号（'）来实现;  2、给命令对

2、象添加参数法：    例如：           intId=1;           stringName="lui";           cmd.CommandText="insertintoTUserLoginvalues(@Id,@Name)";         //上条语句中直接在sql语句中写添加的参数名,不论参数类型都是如此....          SqlParameter para=newSqlParameter("@Id",SqlDbType.int,4);//生成一个名字为@Id的参数,必须以@开头表示是添加的参数，并设置其类型长度，类型长度与数

3、据库中对应字段相同          para.Value=Id;//给参数赋值          cmd.Parameters.Add(para);//必须把参数变量添加到命令对象中去。          //以下类似          para=newSqlParameter("@Name",SqlDbType.VarChar,16);          para.Value=Name;          com.Parameters.Add(para);       ...然后就可以执行数据库操作了。 声明：本帖转自http://www.knowsky.com/3

4、39188.html 在此对本帖原创作者，致以最诚挚的谢意！  ============================================= ... SqlParameter用法SqlParameter[]parameters={newSqlParameter("@a","a1"),newSqlParameter("@b","b1")};            stringstrReturn="";            StringBuilderstrBulResult=newStringBuilder();              foreach(S

5、qlParameterparameterinparameters)            {                strBulResult.Append(parameter.ParameterName);                strBulResult.Append(":"); ...               strBulResult.Append(parameter.SqlValue);                strBulResult.Append("");            }              strReturn=st

6、rBulResult.ToString();  声明：本帖转自http://hi.baidu.com/daxiongmao_adi/blog/item/d7ac6ccdd75348540eb34553.html 在此对本帖原创作者，致以最诚挚的谢意！  =============================================...  SqlParameter用法  关于Sql注入的基本概念，相信不需多说，大家都清楚，经典的注入语句是'or1=1--单引号而截断字符串，“or1=1”的永真式的出现使得表的一些信息被暴露出来，如果sql语句是select*

7、from的话，可能你整个表的信息都会被读取到，更严重的是，如果恶意使用都使用drop命令，那么可能你的整个数据库得全线崩溃。  当然，现在重点不是讲sql注入的害处，而是说说如何最大限度的避免注入问题。  sql注入的存在在最大危害，是sql的执行语句没有和控制语句分开，我们想要select一些东西，但用户可能拼出'or1=1甚至再加上delete/update/drop，后来是属于控制语句了，所以要避免sql的注入，就必须把查询语句与控制语句分开。 SqlParameter给我们提供了一个很好的类，有了它，我们可以不现拼接字符串，也可以