防SQL注入之SqlParameter的简单使用[C#]

来源：互联网发布：淘宝体检中心在哪编辑：程序博客网时间：2024/05/18 03:55

CSDN最近反映变快了嘛，刚传的资源，这么快就显示出来了。

此例源码：http://download.csdn.net/source/1245371

来，照例，咱看代码(为什么我贴出来的代码显示这么丑？。。)

string strOrderID = this.textBox1.Text.Trim().ToString(); string strCustomerID = this.textBox2.Text.Trim().ToString(); //被SQL注入的拼SQL的句子是这么写的 //string strSql = "Select * from [Orders] Where OrderId = '" + strOrderID + "' AND CustomerID = '" + strCustomerID + "'"; //防止SQL注入的拼SQL的句子是这么写的 string strSql = "Select * from [Orders] Where OrderId = @strOrderID AND CustomerID = @strCustomerID"; //加sqlParameter变量 SqlCommand myCommand = new SqlCommand(strSql, con); SqlParameter prOrderId = new SqlParameter("@strOrderID", SqlDbType.VarChar, 64); prOrderId.Value = strOrderID; myCommand.Parameters.Add(prOrderId); //加sqlParameter变量 SqlParameter prCustomerID = new SqlParameter("@strCustomerID", SqlDbType.VarChar, 64); prCustomerID.Value = strCustomerID; myCommand.Parameters.Add(prCustomerID);