学习asp.net之SQL语句查询效率和安全性_.Net教程

教程Tag：暂无Tag,欢迎添加,赚取U币!

缂傚倸鍊风粈浣该洪敃鍌氱劵缂佲偓閹辩eCMS闂佽崵鍠愰悷銉ノ涘┑瀣ㄢ偓鍌炲醇閺囩偞鐎┑鐐叉閸ㄧ喖寮婚敓锟�濠电偞鍨跺瑙勭珶閸℃稑鐓橀柡宥庡幗閳锋帡鏌ㄩ悤鍌涘 缂傚倷绀侀ˇ閬嶅窗閹邦剨鑰块柛銉墮缁€澶愭煃閵夈劍鐝柣婵撴嫹闂傚倷绶￠崑鍕囨潏鈺冪濠㈣泛鏈崗婊堟煛閸ャ劍鐨戦梻澶婄Ч閺屻倖娼忛妸锔绘缂備焦鍞婚幏锟� 闂備礁鎼崯鐗堟叏閹绢喖妞介柡宥庡亞閸楁碍绻涢崱妯诲鞍婵絾鍔楅埀顒冾潐閹爼宕曢柆宥呯煑闁跨噦鎷�,闂備浇鐨崟顐㈠Б闁诲氦顫夋繛濠傤嚕閸洖绀冩い鏂垮悑椤忕喐绻涢幋鐐村皑闁稿鎹囧鍝勨枎閹勭亪闂佸憡鐟ョ换妯侯嚕婵犳碍鏅搁柨鐕傛嫹!

推荐：捕捉WPF应用程序中XAML代码解析异常
由于WPF应用程序中XAML代码在很多时候是运行时加载处理的。比如DynamicResource，但是在编译或者运行的过程中，编写的XAML代码很可能有错误，此时XAML代码解析器通常会抛出称为XamlParseExcepti

看一看这段代码，让我们来看看主要存在的问题

以下为引用的内容：

//设置SQL语句

insertstr="insert into userinfo(name,password,email,phone,mobile,post,address)
VALUES(``";
insertstr = this._name.Trim()
; "``,``";
insertstr = this._password.Trim() "``,``";
insertstr = this._email.Trim() "``,``";
insertstr = this._phone.Trim() "``,``";
insertstr = this._mobile.Trim() "``,``";
insertstr = this._post.Trim() "``,``";
insertstr = this._address.Trim() "``)";

1、效率问题

首先看看上边这段代码，效率太低了，这么多的字符串连接本身效率就够低的了，再加上这么些trim()，完全没有必要。

2、正确性问题

这段代码太脆弱，一个单引号就可以使整个程序崩溃。

3、安全性

同上，利用单引号我可以做很多事，比如运行个xp_cmd命令，那你就惨了，呵呵。

那么，怎样来写呢，上面这段代码可以改成这样：

以下为引用的内容：

string strSql = "insert into sometable (c1 , c2 , c3 , ...) values(@c1 , @c2 ,
@c3,...)"
SqlCommand myCommand = new SqlCommand(strSql , myConn)
try
{
myCommand.Parameters.Add(new SqlParameters("@c1" , SqlDataType.VarChar , 20)
myCommand.Parameters["@c1"].Value = this._Name ;
....
//有几个加几个
....
}
catch(...)
...

这样呢，既可以避免低效率的字符串连接，又可以利用sqlcommand参数有效性检测来避免非法字符的出现，并且由于这种parameter方式是预编译的，效率更高。

分享：.NET：InTheHand提供的类操作SMS
由于需要催手机里的短消息（SMS）进行操作，现成的API都不能方便的实现，看到最好用的要数InTheHand这家第三方控件了，真的很方便，但是这个版本是商业版（$49），发布的试用版不支持这个类的，