数据库SqlParameter 的插入操作,防止sql注入的实现代码
例子: 点击Button1按钮的时候就把数据插入数据库中。
using System;
using System.Collections.Generic;
using System.Linq;
using System.Web;
using System.Web.UI;
using System.Web.UI.WebControls;
using System.Text;
using System.Data.SqlClient;
using System.Data;
using System.Configuration;namespace ParaMeter
{
public partial class Test : System.Web.UI.Page
{
private string connectionStr; //链接数据库的字符串
private SqlConnection conDB; //数据库的链接
private SqlTransaction _trans; //事务对象
protected void Page_Load(object sender, EventArgs e)
{
//connectionStr = ConfigurationSettings.AppSettings["constr"];
connectionStr = "server=10.11.43.189\\SQL2008;database=OA_WEB_DB;uid=sa;pwd=123456";
conDB = new SqlConnection(connectionStr);
}protected void Button1_Click(object sender, EventArgs e)
{
StringBuilder strSql = new StringBuilder();
strSql.Append("INSERT INTO [OA_WEB_DB].[dbo].[OA_RT_FileType]([FileTypeName],[Deleted])");
strSql.Append("VALUES(@fileName,@delete)");
SqlParameter[] parameters = {
new SqlParameter("@fileName", SqlDbType.NVarChar,100),
new SqlParameter("@delete",SqlDbType.Bit),};
parameters[0].Value = "文件类型";
parameters[1].Value = false;
bool IsSucc = ExecUpdateSql(strSql.ToString(), parameters);
if (IsSucc)
{
Label1.Text = "插入成功";
}
else
{
Label1.Text = "插入失败";
}}
/// 执行一条更新语句
/// </summary>
/// <param name="SQLString">需要执行的SQL语句。</param>
/// <param name="cmdParms">执行参数数组</param>
/// <returns>成功返回True,失败返回False。</returns>
private bool ExecUpdateSql(string SQLString, params SqlParameter[] cmdParms)
{
using (SqlCommand cmd = new SqlCommand())
{
try
{
PrepareCommand(cmd, conDB, _trans, SQLString, cmdParms);
int iret = cmd.ExecuteNonQuery();
return true;
}
catch (System.Data.SqlClient.SqlException e)
{
return false;
}
}
}
private void PrepareCommand(SqlCommand cmd, SqlConnection conn, SqlTransaction trans, string cmdText, SqlParameter[] cmdParms)
{
if (conn.State != ConnectionState.Open)
conn.Open();
cmd.Connection = conn;
cmd.CommandText = cmdText;
if (trans != null)
cmd.Transaction = trans;
cmd.CommandType = CommandType.Text;//cmdType;
if (cmdParms != null)
{
foreach (SqlParameter parameter in cmdParms)
{
if ((parameter.Direction == ParameterDirection.InputOutput || parameter.Direction == ParameterDirection.Input) &&
(parameter.Value == null))
{
parameter.Value = DBNull.Value;
}
cmd.Parameters.Add(parameter);
}
}
}}
}
您可能感兴趣的文章:
- 数据库SqlParameter 的插入操作,防止sql注入的实现代码
- SqlParameter 实现数据库的插入操作,防止sql注入。
- 尽管普通的sql语句代码可以实现数据插入的操作,但是更好的代码应该是参数的方式:
- 数据库操作_连接SQL Server数据库示例;连接ACCESS数据库;连接到 Oracle 数据库示例;SqlCommand 执行SQL命令示例;SqlDataReader 读取数据示例;使用DataAdapter填充数据到DataSet;使用DataTable存储数据库表;将数据库数据填充到 XML 文件;10 使用带输入参数的存储过程;11 使用带输入、输出参数的存储过程示;12 获得数据库中表的数目和名称;13 保存图片到SQL Server数据库示例;14 获得插入记录标识号;Exce
- 鼠标右键弹出菜单 上传图片自定义控件 弹出菜单(PopUp 控件) 2 实现数据库插入操作 文件名通过参数传递
- 转 操作 SQL Server Mobile 2005 数据库的常用 C# 代码
- 操作 SQL Server Mobile 2005 数据库的常用 C# 代码 (转自黎波)
- 操作 SQL Server Mobile 2005 数据库的常用 C# 代码
- T-SQL语句实现清空数据库数据的代码,保留原有表形式和各种约束
- 用sql语句实现数据库的操作(包括角色、权限、用户、存储过程)
- 用一条SQL语句实现向数据库中插入多条记录的方法
- 微软企业库中数据库访问代码问题(System.InvalidOperationException: Parameter '@FileContent' exceeds the size limit for the sql_variant datatype.)
- 操作SQL Server Mobile 2005数据库的常用C#代码
- 对于防止SQL注入的研究(JAVA代码实现)
- 操作 SQL Server Mobile 2005 数据库的常用 C# 代码
- 更新操作如何防止带外键的字段出现重复,代码实现方法
- sql语句实现数据库操作
- sql 实现将远程数据库中的表记录插入本地数据库的表内。这两个数据库的表的结构是致的
- asp利用Parameters对象,实现防止sql注入,执行sql语句并返回变量值
- 以二进制形式将图片保存到数据库,用存诸过程实现(完整代码+sql语句)