参数化Sql代替拼接Sql语句

最新推荐文章于 2023-03-28 13:51:29 发布

聂宝根

最新推荐文章于 2023-03-28 13:51:29 发布

阅读量635

点赞数

CC 4.0 BY-SA版权

分类专栏： C# SQL语句参数化 C#数据库文章标签： mysql

本文链接：https://blog.csdn.net/qq_44975431/article/details/115591709

C#数据库同时被 2 个专栏收录

2 篇文章

订阅专栏

C# SQL语句参数化

1 篇文章

订阅专栏

本文介绍了一种使用MySQL进行参数化查询的方法，通过示例展示了如何创建参数对象并将其应用于SQL查询中，以此来提高代码的安全性和可维护性。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

//string sql="select count(1) from UserInfo where UserID='"+uName+"' and UserPwd='"+uPwd+"'";
            string sql = "select count(1) from UserInfo where UserID=@UserName and UserPwd=@UserPwd";
            //创建参数对象
            MySqlParameter mySqlParameter = new MySqlParameter("@UserName", uName);
            MySqlParameter mySqlParameter1 = new MySqlParameter("@UserPwd", uPwd);
            
            //创建Command对象
            MySqlCommand mySqlCommand = new MySqlCommand(sql, conn);//sql语句和连接对象
            //添加参数
            mySqlCommand.Parameters.Clear();
            mySqlCommand.Parameters.Add(mySqlParameter);
            mySqlCommand.Parameters.Add(mySqlParameter1);

上述的时单个插入参数，如果插入的参数数量较多，可以采用数组化参数来实现，数组化参数如下：

 string sql = "select count(1) from UserInfo where UserID=@UserName and UserPwd=@UserPwd";
            MySqlParameter[] mySqlParameters= {
            new MySqlParameter("@UserName", uName),new MySqlParameter("@UserPwd", uPwd);
            //创建Command对象
            MySqlCommand mySqlCommand = new MySqlCommand(sql, conn);//sql语句和连接对象
            //添加参数
            mySqlCommand.Parameters.Clear();
            //数组化添加参数
            mySqlCommand.Parameters.AddRange(mySqlParameters);