看一看這段代碼,讓我們來看看主要存在的問題
以下爲引用的內容:
//設置SQL語句
insertstr="insert into userinfo(name,password,email,phone,mobile,post,address) VALUES(``"; insertstr += this._name.Trim() ;+ "``,``"; insertstr += this._password.Trim() +"``,``"; insertstr += this._email.Trim() +"``,``"; insertstr += this._phone.Trim() +"``,``"; insertstr += this._mobile.Trim() +"``,``"; insertstr += this._post.Trim() +"``,``"; insertstr += this._address.Trim() +"``)";
|
1、效率問題
首先看看上邊這段代碼,效率太低了,這麼多的字符串連接本身效率就夠低的了,再加上這麼些trim(),完全沒有必要。
2、正確性問題
這段代碼太脆弱,一個單引號就可以使整個程序崩潰。
3、安全性
同上,利用單引號我可以做很多事,比如運行個xp_cmd命令,那你就慘了,呵呵。
那麼,怎樣來寫呢,上面這段代碼可以改成這樣:
以下爲引用的內容:
string strSql = "insert into sometable (c1 , c2 , c3 , ...) values(@c1 , @c2 , @c3,...)" SqlCommand myCommand = new SqlCommand(strSql , myConn) try { myCommand.Parameters.Add(new SqlParameters("@c1" , SqlDataType.VarChar , 20) myCommand.Parameters["@c1"].Value = this._Name ; .... //有幾個加幾個 .... } catch(...) ...
|
這樣呢,既可以避免低效率的字符串連接,又可以利用sqlcommand參數有效性檢測來避免非法字符的出現,並且由於這種parameter方式是預編譯的,效率更高。