学习asp.net之SQL语句查询效率和安全性_.Net教程

2024-07-10 12:50:01

字体：大中小

来源：转载

供稿：网友

推荐：捕捉WPF应用程序中XAML代码解析异常
由于WPF应用程序中XAML代码在很多时候是运行时加载处理的。比如DynamicResource，但是在编译或者运行的过程中，编写的XAML代码很可能有错误，此时XAML代码解析器通常会抛出称为XamlParseExcepti

看一看这段代码，让我们来看看主要存在的问题

以下为引用的内容：

//设置SQL语句

insertstr="insert into userinfo(name,password,email,phone,mobile,post,address)
VALUES(``";
insertstr = this._name.Trim()
; "``,``";
insertstr = this._password.Trim() "``,``";
insertstr = this._email.Trim() "``,``";
insertstr = this._phone.Trim() "``,``";
insertstr = this._mobile.Trim() "``,``";
insertstr = this._post.Trim() "``,``";
insertstr = this._address.Trim() "``)";

1、效率问题

首先看看上边这段代码，效率太低了，这么多的字符串连接本身效率就够低的了，再加上这么些trim()，完全没有必要。

2、正确性问题

这段代码太脆弱，一个单引号就可以使整个程序崩溃。

3、安全性

同上，利用单引号我可以做很多事，比如运行个xp_cmd命令，那你就惨了，呵呵。

那么，怎样来写呢，上面这段代码可以改成这样：

以下为引用的内容：

string strSql = "insert into sometable (c1 , c2 , c3 , ...) values(@c1 , @c2 ,
@c3,...)"
SqlCommand myCommand = new SqlCommand(strSql , myConn)
try
{
myCommand.Parameters.Add(new SqlParameters("@c1" , SqlDataType.VarChar , 20)
myCommand.Parameters["@c1"].Value = this._Name ;
....
//有几个加几个
....
}
catch(...)
...

这样呢，既可以避免低效率的字符串连接，又可以利用sqlcommand参数有效性检测来避免非法字符的出现，并且由于这种parameter方式是预编译的，效率更高。

分享：.NET：InTheHand提供的类操作SMS
由于需要催手机里的短消息（SMS）进行操作，现成的API都不能方便的实现，看到最好用的要数InTheHand这家第三方控件了，真的很方便，但是这个版本是商业版（$49），发布的试用版不支持这个类的，

上一篇：.NET：InTheHand提供的类操作SMS_.Net教程

下一篇：探索 ASP.NET Futures_.Net教程