SqlParameter的用法

一般來說，在更新DataTable或是DataSet時，如果不採用SqlParameter，那麼當輸入的Sql語句出現歧義時，如字串中含有單引號，程式就會發生錯誤，並且他人可以輕易地通過拼接Sql語句來進行注入攻擊。
 


string sql = "update Table1 set name = 'Pudding' where ID = '1'";//未採用SqlParameter

SqlConnection conn = new SqlConnection();

conn.ConnectionString = "Data Source=.\\SQLExpress;Integrated Security=true;AttachDbFilename=|DataDirectory|\\Database.mdf;User Instance=true";//連線字串與資料庫有關

SqlCommand cmd = new SqlCommand(sql, conn);

try

{

    conn.Open();

    return(cmd.ExecuteNonQuery());

}

catch (Exception)

{

    return -1;

    throw;

}

finally

{

    conn.Close();

} 


上述程式碼未採用SqlParameter，除了存在安全性問題，該方法還無法解決二進位制流的更新，如圖片檔案。通過使用SqlParameter可以解決上述問題，常見的使用方法有兩種，Add方法和AddRange方法。
 
一、Add方法
 


SqlParameter sp = new SqlParameter("@name", "Pudding");

cmd.Parameters.Add(sp);

sp = new SqlParameter("@ID", "1");

cmd.Parameters.Add(sp); 


　　該方法每次只能新增一個SqlParameter。上述程式碼的功能是將ID值等於1的欄位name更新為Pudding(人名)。
 
二、AddRange方法
 


SqlParameter[] paras = new SqlParameter[] { new SqlParameter("@name", "Pudding"), new SqlParameter("@ID", "1") };

cmd.Parameters.AddRange(paras); 


　　顯然，Add方法在新增多個SqlParameter時不方便，此時，可以採用AddRange方法。
 
　　下面是通過SqlParameter向資料庫儲存及讀取圖片的程式碼。
 


public int SavePhoto(string photourl)

{

    FileStream fs = new FileStream(photourl, FileMode.Open, FileAccess.Read);//建立FileStream物件，用於向BinaryReader寫入位元組資料流

    BinaryReader br = new BinaryReader(fs);//建立BinaryReader物件，用於寫入下面的byte陣列

    byte[] photo = br.ReadBytes((int)fs.Length); //新建byte陣列，寫入br中的資料

    br.Close();//記得要關閉br

    fs.Close();//還有fs

    string sql = "update Table1 set photo = @photo where ID = '0'";

    SqlConnection conn = new SqlConnection();

    conn.ConnectionString = "Data Source=.\\SQLExpress;Integrated Security=true;AttachDbFilename=|DataDirectory|\\Database.mdf;User Instance=true";

    SqlCommand cmd = new SqlCommand(sql, conn);

    SqlParameter sp = new SqlParameter("@photo", photo);

    cmd.Parameters.Add(sp);

    try

    {

        conn.Open();

        return (cmd.ExecuteNonQuery());

    }

    catch (Exception)

    {

        return -1;

        throw;

    }

    finally

    {

        conn.Close();

    }

}

 

public void ReadPhoto(string url)

    {

        string sql = "select photo from Table1 where ID = '0'";

        SqlConnection conn = new SqlConnection();

        conn.ConnectionString = "Data Source=.\\SQLExpress;Integrated Security=true;AttachDbFilename=|DataDirectory|\\Database.mdf;User Instance=true";

        SqlCommand cmd = new SqlCommand(sql, conn);

        try

        {

            conn.Open();

            SqlDataReader reader = cmd.ExecuteReader();//採用SqlDataReader的方法來讀取資料

            if (reader.Read())

            {

                byte[] photo = reader[0] as byte[];//將第0列的資料寫入byte陣列

                FileStream fs = new FileStream(url,FileMode.CreateNew);建立FileStream物件，用於寫入位元組資料流

                fs.Write(photo,0,photo.Length);//將byte陣列中的資料寫入fs

                fs.Close();//關閉fs

            }

            reader.Close();//關閉reader

        }

        catch (Exception ex)

        {

            throw;

        }

        finally

        {

            conn.Close();

        }

    }

}

 技術交流群：29609188