大学IT网 - 最懂大学生的IT学习网站! QQ资料交流群:367606806
当前位置:大学IT网 > C#技巧 > C# sql语句拼接时 like情况的防sql注入的用法

C# sql语句拼接时 like情况的防sql注入的用法

关键词:sql语句拼接like防sql注入C#  阅读(1238) 赞(18)

[摘要]本文是对C# sql语句拼接时 like情况的防sql注入的用法的讲解,对学习C#编程技术有所帮助,与大家分享。

  今天下午同事问我一个比较基础的问题,在拼接sql语句的时候,如果遇到Like的情况该怎么办。

  我原来的写法就是简单的拼接字符串,后来同事问我如果遇到sql注入怎么办。我想了下,这确实是个问题。

  刚在网上找了下相关的说明,原来是这样写的。

  如这样一个sql语句:

select * from game where gamename like '%张三%'

  用c#表示的话:

            string keywords = "张三";
            StringBuilder strSql=new StringBuilder();
            strSql.Append("select * from game where gamename like @keywords");

            SqlParameter[] parameters=new SqlParameter[]
            {
                new SqlParameter("@keywords","%"+keywords+"%"), 
            };

这里虽然采用了仍然是用% 来写,但是可以有效过滤sql注入的情况,还是挺简单实用。



相关评论