9.4.1 使用参数来防止SQL注入

　　SQL注入的威力是不可忽视的，下面我们主要介绍防范方法——使用参数化SQL。对于不同的数据供应器都有对就的 Parameter 来表示SQL语句或者存储过程中的各种参数。参数和数据库字段的真实类型——对应，所有参数的值会仅仅被认为一个参数。因此，在参数中任何SQL语句都是没有意义的。

string sConnectionString = @"Server=(local)\SQLEXPRESS;database=Forum;Trusted_Connection=True";
using (SqlConnection conn = new SqlConnection(sConnectionString))
{
    conn.Open();
    using (SqlCommand cmd = new SqlCommand("SELECT COUNT(*) FROM tbClass WHERE ClassName=@ClassName", conn))
    {
        cmd.Parameters.AddWithValue("@ClassName", tb_ClassName.Text);
        Response.Write(string.Format("共有{0}条记录符合要求<br />", cmd.ExecuteScalar().ToString()));
    }
}

 

在这段程序中，我们使用参数代替字符串的拼接。我们需要注意如下几点。

·SQL语句或者存储过程中指定的所有参数必须和Parameters属性中的所有参数对应。

·参数集合的Add()方法有多种重载

 

cmd.Parameters.AddWithValue("@ClassName", tb_ClassName.Text);

//就可以替代

cmd.Parameters.Add("@ClassName", SqlDbType.VarChar, 50);
cmd.Parameters["@ClassName"].Value = tb_ClassName.Text;

 

　　AddWithValue()方法会自动检测参数的类型和长度，对于Add()方法其实也可以省略参数类型和长度。不过为了程序的可读性还是建议你为参数指字类型和长度，当然这个类型和长度需要和数据库字段的真实类型和长度对应。

　　我们还注意到，SqlParameter 对象有一个 Diection 方法。对于SQL语句中的参数，这个值没有什么意义，它是用来指定存储过程参数方向。它的值由 ParameterDirection 枚举来定义，共有以下4个类型。

      ·Input

　　·InputOutput

　　·Putput

　　·ReturnValue