当前位置：首页 > 资讯 > 技术文档

C#使用带like的sql语句时防sql注入的方法

时间：2020-03-09 22:42 编辑：来源：阅读：
扫一扫，手机访问

摘要：C#使用带like的sql语句时防sql注入的方法

本文实例叙述了在拼接sql语句的时候，如果遇到Like的情况该怎么办。一般采用带like的SQL语句进行简单的拼接字符串时，需要开率遇到sql注入的情况。这确实是个需要注意的问题。这里结合一些查阅的资料做了初步的整理。如这样一个sql语句：

select * from game where gamename like '%张三%'

用c#表示的话：

string keywords = "张三";
StringBuilder strSql=new StringBuilder();
strSql.Append("select * from game where gamename like @keywords");

SqlParameter[] parameters=new SqlParameter[]
{
 new SqlParameter("@keywords","%"+keywords+"%"), 
};

这里虽然采用了仍然是用% 来写，但是可以有效过滤sql注入的情况，还是挺简单实用。相信本文所述对大家构建更安全的C#数据库程序有一定的借鉴作用。

全部评论(0)

上一篇：C#查询SqlServer数据库并返回单个值的方法
下一篇：C#实现通过ffmpeg从flv视频文件中截图的方法

资讯排行榜
更多>>