SqlParameter的作用与用法

开发 后端
因为通过SQL语句的方式,有时候存在脚本注入的危险,所以在大多数情况下不建议用拼接SQL语句字符串方式,希望通过SqlParameter实现来实现对数据的操作,针对SqlParameter的方式我们同样可以将其封装成一个可以复用的数据访问类,只是比SQL语句的方式多了一个SqlParameter的参数。

一般来说,在更新DataTable或是DataSet时,如果不采用SqlParameter,那么当输入的Sql语句出现歧义时,如字符串中含有单引号,程序就会发生错误,并且他人可以轻易地通过拼接Sql语句来进行注入攻击。

  1. string sql = "update Table1 set name = 'Pudding' where ID = '1'";//未采用SqlParameter   
  2. SqlConnection conn = new SqlConnection();   
  3. conn.ConnectionString = "Data Source=.\\SQLExpress;Integrated Security=true;AttachDbFilename=|DataDirectory|\\Database.mdf;User Instance=true";//连接字符串与数据库有关   
  4. SqlCommand cmd = new SqlCommand(sql, conn);   
  5. try   
  6. {   
  7. conn.Open();   
  8. return(cmd.ExecuteNonQuery());   
  9. }   
  10. catch (Exception)   
  11. {   
  12. return -1;   
  13. throw;   
  14. }   
  15. finally   
  16. {   
  17. conn.Close();   
  18. }  

上述代码未采用SqlParameter,除了存在安全性问题,该方法还无法解决二进制流的更新,如图片文件。通过使用SqlParameter可以解决上述问题,常见的使用方法有两种,Add方法和AddRange方法。

一、Add方法

  1. SqlParameter sp = new SqlParameter("@name""Pudding");   
  2. cmd.Parameters.Add(sp);   
  3. sp = new SqlParameter("@ID""1");   
  4. cmd.Parameters.Add(sp);  

该方法每次只能添加一个SqlParameter。上述代码的功能是将ID值等于1的字段name更新为Pudding(人名)。

二、AddRange方法

  1. SqlParameter[] paras = new SqlParameter[] { new SqlParameter("@name""Pudding"), new SqlParameter("@ID""1") };   
  2. cmd.Parameters.AddRange(paras);  

显然,Add方法在添加多个SqlParameter时不方便,此时,可以采用AddRange方法。 

下面是通过SqlParameter向数据库存储及读取图片的代码。

  1. view sourceprint?01 public int SavePhoto(string photourl)   
  2. {   
  3. FileStream fs = new FileStream(photourl, FileMode.Open, FileAccess.Read);//创建FileStream对象,用于向BinaryReader写入字节数据流   
  4. BinaryReader br = new BinaryReader(fs);//创建BinaryReader对象,用于写入下面的byte数组   
  5. byte[] photo = br.ReadBytes((int)fs.Length); //新建byte数组,写入br中的数据   
  6. br.Close();//记得要关闭br   
  7. fs.Close();//还有fs   
  8. string sql = "update Table1 set photo = @photo where ID = '0'";   
  9. SqlConnection conn = new SqlConnection();   
  10. conn.ConnectionString = "Data Source=.\\SQLExpress;Integrated Security=true;AttachDbFilename=|DataDirectory|\\Database.mdf;User Instance=true";   
  11. SqlCommand cmd = new SqlCommand(sql, conn);   
  12. SqlParameter sp = new SqlParameter("@photo", photo);   
  13. cmd.Parameters.Add(sp);   
  14. try   
  15. {   
  16. conn.Open();   
  17. return (cmd.ExecuteNonQuery());   
  18. }   
  19. catch (Exception)   
  20. {   
  21. return -1;   
  22. throw;   
  23. }   
  24. finally   
  25. {   
  26. conn.Close();   
  27. }   
  28. }   
  29. public void ReadPhoto(string url)   
  30. {   
  31. string sql = "select photo from Table1 where ID = '0'";   
  32. SqlConnection conn = new SqlConnection();   
  33. conn.ConnectionString = "Data Source=.\\SQLExpress;Integrated Security=true;AttachDbFilename=|DataDirectory|\\Database.mdf;User Instance=true";   
  34. SqlCommand cmd = new SqlCommand(sql, conn);   
  35. try   
  36. {   
  37. conn.Open();   
  38. SqlDataReader reader = cmd.ExecuteReader();//采用SqlDataReader的方法来读取数据   
  39. if (reader.Read())   
  40. {   
  41. byte[] photo = reader[0] as byte[];//将第0列的数据写入byte数组   
  42. FileStream fs = new FileStream(url,FileMode.CreateNew);创建FileStream对象,用于写入字节数据流   
  43. fs.Write(photo,0,photo.Length);//将byte数组中的数据写入fs   
  44. fs.Close();//关闭fs   
  45. }   
  46. reader.Close();//关闭reader   
  47. }   
  48. catch (Exception ex)   
  49. {   
  50. throw;   
  51. }   
  52. finally   
  53. {   
  54. conn.Close();   
  55. }   
  56. }   
  57. }  

 【编辑推荐】

  1.  ASP.net的身份验证方式FORMS
  2. ASP.Net中保护自定义的服务器控件
  3. 大型高性能ASP.NET系统架构设计
  4. ASP.NET配置文件Web.config详细解释
  5. VB.NET和ASP.NET编码规范
责任编辑:于铁 来源: 博客园
相关推荐

2010-08-23 15:14:10

padding

2010-05-26 16:53:21

MySQL show

2010-08-24 15:11:24

PositionCSS

2009-07-08 15:01:00

Servlet的作用

2010-08-23 09:42:50

CSSPosition

2024-03-07 13:30:44

Java对象true

2010-07-12 14:29:42

BOOTPBOOTP协议

2012-04-02 14:03:08

web缓存

2009-08-05 17:11:38

匿名方法的作用

2010-05-24 15:56:53

MySQL数据类型

2020-12-09 10:55:25

ArrayvectorLinux

2011-04-02 09:29:13

Linuxwhatismakewhatis

2018-01-16 09:08:00

Linux命令fmt

2010-05-13 16:32:18

2021-03-17 08:39:24

作用域作用域链JavaScript

2021-03-16 22:25:06

作用域链作用域JavaScript

2009-07-22 09:39:18

CLR线程池

2011-07-12 11:03:08

额外控制器

2009-07-08 10:23:29

2010-07-27 11:08:49

DB2数据移动
点赞
收藏

51CTO技术栈公众号