SqlParameter的用法 关于Sql注入的基本概念，相信不需多说，大家都清楚，经典的注入语句是' or 1=1--单引号而截断字符串，“or 1=1”的永真式的出现使得表的一些信息被暴露出来，如果sql语句是select * from 的话，可能你整个表的信息都会被读取到，更严重的是，如果恶意 ...
分类：
数据库 时间：
2017-01-03 18:22:14
阅读次数：
309
C#查询条件中存在in，为了避免拼脚本，参数化查询数据库，提高安全性，规避脚本注入。网上找了好多，最后发现 SqlParameter 是无法实现in的操作，所以只能变相来实现，结果还是不错的，性能上各位自己去测试一下吧，因为in操作本身就比较慢（无法使用索引）。下面给出SQl脚本 下面在给出一段EF ...
分类：
数据库 时间：
2016-11-17 10:47:27
阅读次数：
210
一般的参数化数据如 select * from userinfo where userid=@userid SqlParameter para = new SqlParameter("@userid", value ); like参数化数据不可以直接在sql语句中加like %@userid%,必须 ...
--示例INSERT INTO 表名 ( 参数 )VALUES(@+参数)，new SqlParameter("@参数", 值);注：配合SqlHelper使用。 一、Load():load()方法默认使用 GET 方式, 如果传递了data参数则使用Post方式传递附加参数时自动转换为 POST ...
分类：
Web程序 时间：
2016-10-12 00:21:51
阅读次数：
197
一般情况下，我们定义的一个SqlParameter参数数组，如： SqlParameter[] parms = { new SqlParameter("@DateTime1", dtBegin), new SqlParameter("@DateTime2", dtEnd) }; 如果只给一个SqlC ...
分类：
数据库 时间：
2016-09-14 16:39:01
阅读次数：
154
SqlParameter[] param = new SqlParameter[] { new SqlParameter("@Page",SqlDbType.Int,4), new SqlParameter("@Size",SqlDbType.Int,4 ), new SqlParameter("@ ...
分类：
数据库 时间：
2016-09-03 09:45:53
阅读次数：
313
一般来说，在更新DataTable或是DataSet时，如果不采用SqlParameter，那么当输入的Sql语句出现歧义时，如字符串中含有单引号，程序就会发生错误，并且他人可以轻易地通过拼接Sql语句来进行注入攻击。 ? 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 ...
分类：
数据库 时间：
2016-09-01 14:22:17
阅读次数：
167
1 #region 私有构造函数和方法 2 3 private SqlHelper() { } 4 5 /// <summary> 6 /// 将SqlParameter参数数组(参数值)分配给SqlCommand命令. 7 /// 这个方法将给任何一个参数分配DBNull.Value; 8 /// ...
分类：
数据库 时间：
2016-08-23 18:41:55
阅读次数：
436
在存储过程中添加2个参数 sql语句 例： “update [tablename] username = @username where id=@id” 然后把需要的 command.Parameters.Add(new SqlParameter("@id",SqlDbType.VarChar,50 ...
分类：
数据库 时间：
2016-08-15 22:14:54
阅读次数：
243
public DataTable GetAdminTopDCSCheckReport(int top) { StringBuilder strSql = new StringBuilder(); strSql.Append(" select top (@top) * from [T_Report] ...
分类：
数据库 时间：
2016-08-14 14:31:56
阅读次数：
218
