学习asp.net之SQL语句查询效率和安全性_.Net教程

编辑Tag赚U币
教程Tag:暂无Tag,欢迎添加,赚取U币!

推荐:捕捉WPF应用程序中XAML代码解析异常
由于WPF应用程序中XAML代码在很多时候是运行时加载处理的。比如DynamicResource,但是在编译或者运行的过程中,编写的XAML代码很可能有错误,此时XAML代码解析器通常会抛出称为XamlParseExcepti

看一看这段代码,让我们来看看主要存在的问题

以下为引用的内容:

//设置SQL语句

insertstr="insert into userinfo(name,password,email,phone,mobile,post,address)
VALUES(``";
insertstr = this._name.Trim()
; "``,``";
insertstr = this._password.Trim() "``,``";
insertstr = this._email.Trim() "``,``";
insertstr = this._phone.Trim() "``,``";
insertstr = this._mobile.Trim() "``,``";
insertstr = this._post.Trim() "``,``";
insertstr = this._address.Trim() "``)";

1、效率问题

首先看看上边这段代码,效率太低了,这么多的字符串连接本身效率就够低的了,再加上这么些trim(),完全没有必要。

2、正确性问题

这段代码太脆弱,一个单引号就可以使整个程序崩溃。

3、安全性

同上,利用单引号我可以做很多事,比如运行个xp_cmd命令,那你就惨了,呵呵。

那么,怎样来写呢,上面这段代码可以改成这样:

以下为引用的内容:

string strSql = "insert into sometable (c1 , c2 , c3 , ...) values(@c1 , @c2 ,
@c3,...)"
SqlCommand myCommand = new SqlCommand(strSql , myConn)
try
{
myCommand.Parameters.Add(new SqlParameters("@c1" , SqlDataType.VarChar , 20)
myCommand.Parameters["@c1"].Value = this._Name ;
....
//有几个加几个
....
}
catch(...)
...

这样呢,既可以避免低效率的字符串连接,又可以利用sqlcommand参数有效性检测来避免非法字符的出现,并且由于这种parameter方式是预编译的,效率更高。

分享:.NET:InTheHand提供的类操作SMS
由于需要催手机里的短消息(SMS)进行操作,现成的API都不能方便的实现,看到最好用的要数InTheHand这家第三方控件了,真的很方便,但是这个版本是商业版($49),发布的试用版不支持这个类的,

来源:模板无忧//所属分类:.Net教程/更新时间:2008-08-22
相关.Net教程