ADO.NET(四) 参数化sql和简单的增删改查

缺乏、安全感 2022-09-18 12:46 16阅读 0赞

ExecuteScalar()方法通过SELECT语句返回查询结果中的第一行第一列的值，该方法常用于执行返回单个字段的

查询，如count（），max（）等。

ExecuteNonQuery()方法执行返回结果集的命令，如insert delete update。这个方法返回一个信息--受影响的

行数，如果不是insert delete update 则返回-1。

为了防止sql注入漏洞我们一般在写sql的时候不会使用字符串拼接。而是参数化的形式

如 select \* from dept=:dept 在这里:dept就是要替换的参数。在oracle中用：但是在SQL Server中使用@dept

也可以用数字替代。

这里一个简单的实例演示oracle中的参数化查询，SQL Server中类似

首先还是配置链接字符串，这些就不多做说明，代码有详细的注释

其中得到链接在后台方法有，这个后台上一节有。

DbTest o_Dt = null;
                OracleCommand o_Comm = null;
                OracleConnection o_Conn = null;
                StringBuilder sb = new StringBuilder();
                try
                {
                    o_Dt = new DbTest();
                    //得到链接
                    o_Conn = o_Dt.GetConn;
                    //打开链接
                    o_Conn.Open();
                    OracleDataReader _reader = null;
                    //抓页面抓取数据
                    string _deptNo = txtDeptNo.Text.Trim();
                    string _deptName = txtDeptNM.Text.Trim();
                    //创建Command对象
                    o_Comm = new OracleCommand();
                    //拼接sql（使用参数化）
                    sb.Append(@" select * from dept where 1=1 ");
                    if (!string.IsNullOrEmpty(_deptNo))
                    {
                        sb.Append(" and deptno=:deptno");
                        o_Comm.Parameters.Add("deptno", OracleDbType.Varchar2);
                        o_Comm.Parameters["deptno"].Value = _deptNo;
                    }
                    if (!string.IsNullOrEmpty(_deptName))
                    {
                        sb.Append(" and dname like :dname");
                        o_Comm.Parameters.Add("dname", OracleDbType.Varchar2);
                        o_Comm.Parameters["dname"].Value = "%" + _deptName + "%";
                    } 
                    //指定执行的sql语句
                    o_Comm.CommandText = sb.ToString();
                    //指定链接
                    o_Comm.Connection = o_Conn;
                    //获得DataReader对象
                    _reader = o_Comm.ExecuteReader();
                    //绑定数据
                    grdDept.DataSource = _reader;
                    grdDept.DataBind();
                }
                catch (Exception ex)
                {
                    Response.Write(ex.Message);
                }
                finally
                {
                    //关闭资源
                    o_Conn.Close();
                }

这个是条件查询的写法，结果如图：

![SouthEast][]

![SouthEast 1][]

这个是查询，下面简单介绍下新增：

后台代码：

/// <summary>
            /// 简单新增
            /// </summary>
            /// <param name="sql"></param>
            /// <returns></returns>
            public int DoExecute(string sql) 
            {
                try
                {                                
                    o_Conn.Open();
                    o_Comm.CommandText = sql;
                    o_Comm.Connection = o_Conn;
                    i = o_Comm.ExecuteNonQuery();
                }
                catch (Exception ex)
                {
                    o_Reader = null;
                }
                return i;
            }
    
            /// <summary>
            /// 简单设定参数
            /// </summary>
            /// <param name="paraName"></param>
            /// <param name="dbType"></param>
            /// <param name="activeValue"></param>
            public void AddParams(string paraName, OracleDbType dbType, string activeValue)
            {
                o_Comm.Parameters.Add(paraName, dbType);
                o_Comm.Parameters[paraName].Value = activeValue;
            }

前台调用的代码：

//抓取页面数据
                string _no = txtNo.Text.Trim();
                string _name = txtNM.Text.Trim();
                string _loc = txtLoc.Text.Trim();
                DbTest o_Db = new DbTest();
                StringBuilder sb = new StringBuilder();
                sb.Append(@" insert into dept values(:no,:nm,:loc)");
                //调用方法设定参数
                o_Db.AddParams("no", OracleDbType.Varchar2, _no);
                o_Db.AddParams("nm", OracleDbType.Varchar2, _name);
                o_Db.AddParams("loc", OracleDbType.Varchar2, _loc);
                int i = o_Db.DoExecute(sb.ToString());
                if (i > 0) 
                {
                    //重新绑定
                    Bind(); 
                }

效果如下：

![SouthEast 2][]  
我已经把这个简单Demo上传，下载地址

[资源][Link 1]

[SouthEast]: /images/20220828/5fe7820ee6f64bdca8b9a61b37f772e0.png
[SouthEast 1]: /images/20220828/ad494aad399742e5a7e16b71acc35efa.png
[SouthEast 2]: /images/20220828/60ae3cbea89042c2aefcecdfc18fab5f.png
[Link 1]: http://download.csdn.net/detail/u010586842/6599427