[MrYoung教程：易学之道]4ADONET基础之参数化查询


		一、前文回顾
　　上文中我们讲解了数据库的增，修，删，查操作，并以一个例子引出了臭名昭著的SQL注入。
 二、概述
　　这节课我们来讨论如何使用参数化查询来解决SQL注入的问题，并改写我们的所有方法。 
三、主要内容
　　3.1 参数化查询的优点。
　　3.2 SqlCommand的属性。 
　　3.3 SqlDataAdapter 。 
　　3.4 总结。
四、优点
　　防止SQL注入，通过给参数赋值，从而把整个参数都看做一个值去比较，ADO.NET会对一些特殊字符进行转义，而不是字符串拼接。 
五、SqlCommand的属性
　　5.1 SqlCommand.Connection 属性:获取或设置 SqlCommand的此实例使用的连接。 
 
1             SqlConnection sqlcon = new SqlConnection(connectionString);2             SqlCommand sqlcom = new SqlCommand();3             sqlcom.Connection = sqlcon; 
　　5.2 SqlCommand.CommandText 属性:获取或设置要对数据源执行的 SQL 语句。 
 
view sourceprint?1             sqlcom.CommandText = "select * from tb_user where UserName=@u and <A href=mailto:UserPassWord=@p";>UserPassWord=@p";  
2 </A> 
 
 
　　5.3 SqlCommand.Parameters 属性:获取设置参数列表。表示相关联的参数的集合 
 
view sourceprint?1 sqlcom.Parameters.Add("username", SqlDbType.VarChar, 50).Value = "MrYoung"; 
 
　　上面则是为SQLCOM的PARAMETERS添加一个参数，这个参数的名称为username,SqlDbType.VarChar为参数的数据库字段类型为VARCHAR，长度为50。VALUE则是为这个参数赋值为MrYoung。
　　接下来我们便分别改写我们的增，修，删方法分别如下：
 
view sourceprint?001 /// <summary>    
002    
003 /// 插入数据    
004    
005 /// </summary>    
006    
007 /// <param name="username"></param>    
008    
009 /// <param name="userpassword"></param>    
010    
011 /// <param name="userage"></param>    
012    
013 /// <param name="userphone"></param>    
014    
015 /// <param name="useraddress"></param>    
016    
017 public static void InsertData(string username,string userpassword,int userage,string userphone,string useraddress)    
018    
019 {    
020    
021     //实例化连接对象    
022    
023     using (SqlConnection sqlcon = new SqlConnection(connectionString))    
024    
025     {    
026    
027         //实例化SQLCOMMAND，注意为默认的空构造函数    
028    
029         using (SqlCommand sqlcom = new SqlCommand())    
030    
031         {    
032    
033             //指定他使用的SQLCONNECTION    
034    
035             sqlcom.Connection = sqlcon;    
036    
037             //设置查询语句    
038    
039             sqlcom.CommandText = "insert into tb_user values (@username,@userpassword,@userage,@userphone,@useraddress)";    
040    
041             //给Parameters添加参数并复制    
042    
043             sqlcom.Parameters.Add("username", SqlDbType.VarChar, 50).Value = username;    
044    
045             sqlcom.Parameters.Add("userpassword", SqlDbType.VarChar, 50).Value = userpassword;    
046    
047             sqlcom.Parameters.Add("userage", SqlDbType.Int, 4).Value = userage;    
048    
049             sqlcom.Parameters.Add("userphone", SqlDbType.VarChar, 50).Value = userphone;    
050    
051             sqlcom.Parameters.Add("useraddress", SqlDbType.VarChar, 50).Value = useraddress;    
052    
053             try  
054    
055             {    
056    
057      
058    
059                 sqlcon.Open();    
060    
061                 sqlcom.ExecuteNonQuery();    
062    
063             }    
064    
065             catch (Exception e1)    
066    
067             {    
068    
069                 sqlcon.Close();    
070    
071                 throw new Exception(e1.Message);    
072    
073             }    
074    
075      
076    
077         }    
078    
079     }    
080    
081 }    
082    
083      
084    
085      
086    
087 /// <summary>    
088    
089 /// 修改数据    
090    
091 /// </summary>    
092    
093 /// <param name="username"></param>    
094

补充：Web开发 , ASP.Net ,