C＃ASP.NET SQL參數化

Question

我已經看到了一些示例如何使用參數來避免字符轉義。使用參數對SQL注入是否安全100％？

此外，你可以請一些基本的查詢（這是reguraly使用），以及你如何實現參數？

我之前搜索過的一些網站提供了太複雜的例子。

Answer 1

參數化的SQL查詢的一個基本的例子如下：

SqlCommand command = new SqlCommand(@"select city from users where username = @username", conn); 
SqlParameter param = new SqlParameter(); 
param.ParameterName = "@username"; 
param.Value = "abc123" 
command.Parameters.Add(param); 

conn是已經建立的SqlConnection的。

@username是執行命令時將被替換的參數名稱。

abc123是我爲示例設置的用戶名。

這顯然是一個編造的場景，但你明白了。

Answer 2

作爲一個較短的版本，你可以使用

SqlCommand command = new SqlCommand(@"select city from users where username = @username", conn); 
command.Parameters.AddWithValue("@username", "value");