SqlParameter可以防止sql注入问题,这里记录下使用方法及代码。
1.封装的sqlHelper类中的数据库操作方法(部分代码,具体可参见.net 使用SQLconnection连接数据库及SQL帮助类)
//这里要填入你的数据库连接字符串
private static string connectionString = "*************************";
/// <summary>
/// 执行增、删、改的方法
/// </summary>
/// <param name="sql">预计执行的非SELECT查询语句</param>
/// <param name="param">SQL语句中的可变参数</param>
/// <returns>返回受影响的行数</returns>
public static int ExecuteNonQuery(string sql, params SqlParameter[] param)
{
using (SqlConnection conn = new SqlConnection(connectionString))
{
try
{
conn.Open();
SqlCommand cmd = new SqlCommand(sql, conn);
cmd.Parameters.AddRange(param);
return cmd.ExecuteNonQuery();
}
catch (Exception ex)
{
Console.WriteLine("异常信息:\n" + ex.Message);
return -2;
}
}
}
2.使用SqlParameter的代码:
public static void TestSqlParameter()
{
string sqlValue = "insert into out_in_storage(day_night_shift,record_acc," +
"record_name,handle_acc,handle_name,is_outed,product_line,fixure_id,log_time) " +
"values(@day_night_shift,@record_acc,@record_name,@handle_acc,@handle_name,@is_outed," +
"@product_line,@fixure_id,@log_time)";
SqlParameter[] parameters = {
new SqlParameter("@day_night_shift","day"),
new SqlParameter("@record_acc", "123"),
new SqlParameter("@record_name", "张飞"),
new SqlParameter("@handle_acc", "2"),
new SqlParameter("@handle_name", "operator"),
new SqlParameter("@is_outed", 1),
new SqlParameter("@product_line", "1"),
new SqlParameter("@fixure_id", "2"),
new SqlParameter("@log_time", "2019/2/18")
};
int affectCount = SqlHelper.ExecuteNonQuery(sqlValue, parameters);
Console.WriteLine("影响行数:"+affectCount);
}
这里使用了控制台程序进行测试,运行代码的截图如下:
2.这里使用SQLparameter时要注意一点,在前面定义string类型字符串时,对于数据库中varchar类型的数据不需要再添加单引号!!!这是我在后面的使用中所犯的一个错误。下面给出具体的错误例子代码:
错误代码示例:
public static void TestUpdateParameter()
{
string str = "6;7;8";
string[] strArray = str.Split(';');
//下面定义的字符串是错误的,需要将@fixure_id两边的单引号删去,才是正确的写法,这样是执行
string sqlValue = "update fixure_entity set entity_status_id=2 where fixure_id='@fixure_id'";
SqlParameter[] parameters =
{
new SqlParameter("@fixure_id",strArray[0])
};
int count= SqlHelper.ExecuteNonQuery(sqlValue, parameters);
Console.WriteLine(count);
}
正确代码示例:(将单引号删去)
public static void TestUpdateParameter()
{
string str = "6;7;8";
string[] strArray = str.Split(';');
string sqlValue = "update fixure_entity set entity_status_id=2 where fixure_id=@fixure_id";
SqlParameter[] parameters =
{
new SqlParameter("@fixure_id",strArray[0])
};
int count= SqlHelper.ExecuteNonQuery(sqlValue, parameters);
Console.WriteLine(count);
}
3.最后给出一个批量插入多条记录的代码示例(仅供参考,基于第一点的代码)
public static void TestSqlParameter()
{
string str = "6;7;8";
string[] strArray = str.Split(';');
string sqlValue = "insert into out_in_storage(day_night_shift,record_acc," +
"record_name,handle_acc,handle_name,is_outed,product_line,fixure_id,log_time) " +
"values(@day_night_shift,@record_acc,@record_name,@handle_acc,@handle_name,@is_outed," +
"@product_line,@fixure_id,@log_time)";
SqlParameter[] parameters = {
new SqlParameter("@day_night_shift","day"),
new SqlParameter("@record_acc", "123"),
new SqlParameter("@record_name", "张飞"),
new SqlParameter("@handle_acc", "2"),
new SqlParameter("@handle_name", "operator"),
new SqlParameter("@is_outed", 1),
new SqlParameter("@product_line", "1"),
new SqlParameter("@fixure_id", "1"),
new SqlParameter("@log_time", "2019/2/18")
};
int affectCount = 0;
int totalCount = 0;
for (int i = 0; i < strArray.Length; i++)
{
parameters[7] = new SqlParameter("@fixure_id", strArray[i]);
affectCount = SqlHelper.ExecuteNonQuery(sqlValue, parameters);
totalCount += affectCount;
}
Console.WriteLine("影响行数:" + totalCount);
}
4.SQLparameter使用时还有一个注意点:SqlParameter如果传入0会变成NULL
错误测试代码:
SqlParameter parm = new SqlParameter("@id",0);
调试时候发现@id值变成null,无法正确调用。
正确写法:
SqlParameter parm = new SqlParameter("@id",Convert.ToInt32(0));
微软官方解释:
微软官方的参考文档:
SqlParameter 构造函数