參數化命令相關知識點之==================防止SQl的註入

一： 使用參數化命令查詢DAL類：
 public DataTable StudentDAL(string name,string gender)
 {
 string str="連接字元串";
//使用Using的稀少資源的釋放
using(sqlconnection con=new sqlconnection(str))
 {
 string sql="select * from stdent where studentName=@name and Gender=@gender";

 sqlcommand com=new sqlcommand();
 sqlparameter[] par=
 {
 new sqlparameter=("@name",name),
 new sqlparameter=("@gender",gender); 
};
 com.parameters.addRange(par); 

sqldataadapter da=new sqldataadapter(com);

 dataset dt=new dataset();
 da.Fill(dt);
 return dt.Tables[0];
 } 
}
 
 

二：在C#中調用帶輸入參數的存儲過程
 
--創建存儲過程
 create proc usp_selectStudent
 @studentName nvarchar(10)
 as
 select * froom student where StudentName=@studentNanme
 go
 
DAL類
 public DataTable GetStudentInFo(string name)
 {
 string str="連接字元串"; 
using(sqlconnection con=new sqlconnection(str))
 { 
string sql="usp_selectStudent"; 

sqldataadapter da=new sqldataadapter(sql,con);
 sqlcommand com=da.selectcommand;
 //指定字元串為存儲過程
com.CommandType=CommandType.StoredProcedure;
 sqlparameter par=new sqlparameter=("@name",name);
 com.parameter.add(par);
 dataset dt=new dataset();
 da.Fill(dt);
 return dt.Tables[0];

 } 
}

三： 在C#中調用帶輸出參數的存儲過程
 
--創建存儲過程
 create proc usp_selectstudentCount
 @name nvarchar(10)
 @Gender nvarchar(10) output
 as
 select @Gender=count(*) from student where studentName=@name;
 select * froom student where studentName=@name;
 go
 
DAL類
 public DataTable GetStudentCount(string name,string Gender)
 {
 string str="連接字元串"; 
using(sqlconnection con=new sqlconnection(str))
 { 
string usp_selectstudentCount
 sqldataadapter da=new sqldataadapter(sql,con);
 sqlcommand com=da.selectCommand;

 com.CommandType=CommandType.StoredProcedure;
 sqlparameter [] pa=
 {
 new sqlparameter("@name",name),
 //設置為輸出參數
new sqlparameter("@Gender",sqlDbType.nvarchar,10)
 }
 //設置最後一個參數的輸出 方向
pa[pa.length-1].Direction=ParameterDiraction.OutPut;
 
com.parameter.addRange(pa);
 string count=pa[pa.length-1].value.toString();
 dataset dt=new dataset();
 da.Fill(dt);
 return Table dt.Table[0];
 } 
}

　補充一下Using的語法：

using (類型 對象名 = new 類型(參數列表))
{
    //……
    //……
}

參數化命令— SqlParameter