增删改防止SQL注入_.NET_编程开发_程序员俱乐部

//进行增删改时防止SQL注入
public bool Insert(string caName)
{
  bool flag=false;
  string sql="insert into category (name) values('"+caName+"')";
  int i=sqlhelper.ExecuteNonQuery(sql);
  if(i>0)
  {
    flag=true;
  }
  return flag;
}
//如果按照上面sql语句插入一条数据容易造成他人SQL注入，比如caName')delete from 数据库表 where id=''
//通过sql的参数集合SqlPatameter传入参数
public bool Insert(string caName)
{
  bool flag=false;
  string sql="insert into category (name) values(@caName)";
  SqlParameter[] paras=new SqlParameter[]{
    new SqlParameter("@caName",caName)
  };
  int i=sqlhelper.ExecuteNonQuery(sql,paras);
  if(i>0)
  {
    flag=true;
  }
  return flag;
}
//其他类似