如何使用command.CommandText属性替换输入参数来防止此代码中的SQL注入？
private void button1_Click(object sender, EventArgs e)
{
BindingSource bs = new BindingSource();
SqlCommand command = new SqlCommand();
StringBuilder sb = new StringBuilder();
bs.DataSource = dataGridView1.DataSource;
if (textBox1.Text != "")
{
sb.Append("DealClassification LIKE '%@Deal%' ");
command.Parameters.AddWithValue("@Deal", textBox1.Text);
}
if (textBox2.Text != "")
{
if (sb.Length > 0) sb.Append(" AND ");
command.Parameters.AddWithValue("@Trader", textBox2.Text);
sb.Append("TraderName LIKE '%@Trader%' ");
}
command.CommandText = sb.ToString();
bs.Filter = command.CommandText.ToString();
dataGridView1.DataSource = bs;
}字符串
1条答案
按热度按时间dw1jzc5e1#
这是错误的：
字符串
单引号内的任何内容都是文本，所以你根本没有使用参数。想想参数和引号在C#代码中是如何工作的。如果你这样做了：
型
你希望
text参数的值是display还是只是“text”这个词。希望你能理解是后者，那么SQL为什么要有任何不同呢？这里有两种选择。你可以在SQL代码中保留通配符，而实际使用参数：
型
另一个选项是将通配符合并到参数值中：
型