繁體中文当前位置: 首页 > 图文教程 > 网络编程 > ASP > 怎么样写一段高效，安全的sql查询代码
- ASP
- ASP下经常用的字符串等函数参考资料
- asp下连接数据库 ASP链接数据库字符串大全总结
- asp内置对象 ObjectContext 事务管理 详解
- asp 内置对象 Application 详解
- ASP中 SQL语句 使用方法
- ASP 中 Split 函数的实例分析
- ASP 中 DateDiff 函数详解 主要实现两日期加减操作
- asp 存贮过程 (SQL版asp调用存储过程)
- 利用ASP实现在线生成电话图片效果脚本附演示
- 使用ASP记录在线用户的数量的代码
- 关于ASP生成伪参数技巧 简洁实用的伪（僞）参数
- asp 关键词字符串分割如何实现方法
- 用ASP编写的加密和解密类
- ASP之处理用Javascript动态添加的表单元素数据的代码
- asp下最常用的19个基本技巧
- 一些Asp技巧和实用解决方法
- asp实现一个统计当前在线用户的解决方案
- asp下的一个很简单的验证码程序
- asp又一个分页的代码例子
- asp实现防止从外部提交数据的三种方法
ASP 中的 怎么样写一段高效，安全的sql查询代码
出处:互联网 整理: 软晨网（RuanChen.com） 发布: 2009-11-03 浏览: 111 ::
收藏到网摘: n/a
//设置SQL语句
insertstr="insert into userinfo(name,password,email,phone,mobile,post,address) VALUES(''";
insertstr += this._name.Trim()
;+ "'',''";
insertstr += this._password.Trim() +"'',''";
insertstr += this._email.Trim() +"'',''";
insertstr += this._phone.Trim() +"'',''";
insertstr += this._mobile.Trim() +"'',''";
insertstr += this._post.Trim() +"'',''";
insertstr += this._address.Trim() +"'')";
1、效率问题
首先看看上边这段代码，效率太低了，这么多的字符串连接本身效率就够低的了，再加上这么些trim()，完全没有必要。
2、正确性问题
这段代码太脆弱，一个单引号就可以使整个程序崩溃。
3、安全性
同上，利用单引号我可以做很多事，比如运行个xp_cmd命令，那你就惨了，呵呵。
那么，怎样来写呢，上面这段代码可以改成这样：
string strSql = "insert into sometable (c1 , c2 , c3 , ...) values(@c1 , @c2 , @c3,...)"
SqlCommand myCommand = new SqlCommand(strSql , myConn)
try
{
myCommand.Parameters.Add(new SqlParameters("@c1" , SqlDataType.VarChar , 20)
myCommand.Parameters["@c1"].Value = this._Name ;
....
//有几个加几个
....
}
catch(...)
...
这样呢，既可以避免低效率的字符串连接，又可以利用sqlcommand参数有效性检测来避免非法字符的出现，并且由于这种parameter方式是预编译的，效率更高。
一举数得，何乐而不为呢。
评论 (0) All
