访问数据库

1.　连接数据库

　　在做项目的时候，我们都需要通过程序来访问SQL Server

　　 通过ADO.NET 这一技术，我们可以在程序中，向数据库提交执行SQL语句的一堆类。

　　 本机访问直接访问“Windows验证”，但是一般项目都是单独的数据库服务器，程序在另外一台电脑上连接SQLServer，保障安全操作。

　　 在做项目过程中不要启用sa账户，而是建立专用的账户，这是基于安全考虑。

　　

　　启用sa账户的方法：进入属性页面后，可以启用sa账户和修改密码

　　　

2.　连接数据库的字符串　　

在C#代码中，用来连接数据库的字符串格式：

Data Source=127.0.0.1,1433;

Initial Catalog=mydb;　　

User ID=sa;　　

Password=123456

　　Data Source 要连接的数据库的IP地址和端口，IP地址,端口，IP地址必须填写，端口可以不填写。连接本机的话填 . 或者127.0.0.1 就可以了；  其他机子的话，填写IP地址，如192.168.1.100。

　　Initial Catalog 要访问的数据库名

　　User ID  用户名

　　Password  密码

3.　使用代码连接数据库

　　要想使用SqlConnection类 必须引用下面的命名空间： using System.Data.SqlClient;

　　通过SqlConnection类创建到SQLServer的连接,SqlConnection代表一个数据库连接。

　　string strConn = "Data Source=127.0.0.1,1433;Initial Catalog=MyTest;User ID=sa;Password=sqlserver2012";
    using (SqlConnection conn = new SqlConnection(strConn))
　　{
    　　conn.Open();
　　　　 // do something          
　　}

　　为什么连接数据库的时候，使用了关键字 using ？

　　1. 通过使用using，可以达到简化资源释放的目的，凡是继承了IDisposable 接口的类都可以通过using来达到自动释放资源的目的。执行到 } 这里的时候，就会自动执行释放资源的方法。我们不必再写close()、Dispose()等方法来关闭和释放资源。这也是微软提供的一个简化资源释放的方式。

　　2. 如果数据库的连接一直被占用的话，假如占用的客户端很多时，服务器就会不堪重负了。另外，由于网络的不稳定性，容易造成不必要的麻烦。所以在需要对数据库进行操作的时候，去开启数据库的连接，不需要的时候及时地关闭。这样服务器就可以同时承受更多客户端的访问。

 

            string strConn = "Data Source=127.0.0.1,1433;Initial Catalog=MyTest;User ID=sa;Password=sqlserver2012";
            using (SqlConnection conn = new SqlConnection(strConn))
            {
                conn.Open();
                //通过SqlCommand类向数据库发出指令
                using (SqlCommand cmd = conn.CreateCommand())
                {
                    //直接拼接字符串的查询语句，在输入 1' or '1' = '1 后，会出现SQL注入漏洞攻击
                    //cmd.CommandText = "select Salary from T_Staff WHERE Name = '" + tBoxStaffName.Text + "'";

                    //可以拥有多个参数
                    cmd.CommandText = "select Salary from T_Staff where Name = @Name and Age = @Age";
                    //需要对多个参数进行依次赋值
                    cmd.Parameters.Add(new SqlParameter("@Name", tBoxStaffName_Copy.Text));
                    cmd.Parameters.Add(new SqlParameter("@Age", tBoxStaffAge.Text));

                    //用来从服务器中读取数据的类
                    using (SqlDataReader reader = cmd.ExecuteReader())
                    {
                        while (reader.Read())
                        {
                            MessageBox.Show(tBoxStaffName_Copy.Text + "的年龄是" + tBoxStaffAge.Text + "，工资是：" + reader["Salary"]);
                        }
                    }
                }
            }

4.　SQLCommand类

　　向数据库发出指令的类

　　 要执行的SQL语句存储在 CommandText 这个属性中。

　　 常用的方法：

　　　 1. void ExecuteNonQuery()   一般用来执行Update、Delete、Insert类型的sql语句 ，也就是执行非查询类型的sql语句。

　　　 2. Object ExecuteScalar()  返回一个Object类型的值，一般用来执行只有一行或一列的返回值的SQL语句。

　　　 3. SqlDataReader ExecuteReader()  用来执行有多条查询结果的SQL语句。

5.　SQLDataReader类　

　　通过它，我们可以从服务器中读取数据，一般来说这些数据会比较大。它所获得的查询结果是放在数据库中的，如果将这些数据传到客户端的话，会占用客户端太多的内存。所以这个类在查询结果数据量较大的时候使用。

　　读取这些数据的方法：

　　我们可以通过索引器或者GetString、GetInt32等方法来获取数据。

　　注意：

　　　　1.　　通过索引器来读取数据时，获取的数据的类型是Object类型，在项目中要将这些数据强转为对应的类型。

　　　　2.　　使用SQLDataReader来读取数据时，必须保证客户端与数据的连接不能断开；也就是说，我们必须在打开数据库连接之后，释放数据库连接之前使用它。

　　while ( reader.Read() )
    {
            Console.WriteLine( reader[0] ): //获取第一列的数据
            Console.WriteLine( reader["Name"] ):   //获取列名为Name这一列的数据
            Console.WriteLine( reader.GetString(1) ): //第2列为string类型，获取第2列的数值，string类型
　　 } 

　　初始时，指针指向第一条数据之前，每调用一次 reader指针向下移动一格，只要没有移动到最后一格之后，Read() 的返回值就为true。

　　每调用一次Read()，reader就会从数据库中获取一条数据，并且传送到客户端上。所以在我们停止获取数据之前，必须保证数据库的连接不能断开。

　　　　

6.　DataSet类

　　 它相当于一个复杂集合，如 List

　　 与SqlDataReader 不同的是，我们需要先将数据从服务器传送到客户端的DataSet中，然后客户端直接从这里面获取数据。所以，在所查询的数据量较小的时候，使用DataSet可以减轻服务器的负担。

　　使用DataSet来读取数据：

            string strConn = "Data Source=127.0.0.1,1433;Initial Catalog=MyTest;User ID=sa;Password=sqlserver2012";
            using (SqlConnection conn = new SqlConnection(strConn)) 
            {
                conn.Open();
                using (SqlCommand cmd = conn.CreateCommand()) 
                {
                    cmd.CommandText = "select * from T_Staff";

                    //SqlDataAdapter是一个帮我们把SqlCommand查询结果填充到DataSet中的类
                    SqlDataAdapter adapter = new SqlDataAdapter(cmd);
                    //DataSet相当于本地的一个复杂的集合（就像List一样）
                    DataSet dataSet = new DataSet();
                    //执行查询语句，并且将查询结果填充到DataSet中
                    adapter.Fill(dataSet);

                    //把查询的结果放入表中
                    DataTableCollection tableColl = dataSet.Tables;
                    DataTable table = tableColl[0];
                    //集合中放的是每一行的数据
                    DataRowCollection rowsColl = table.Rows;

                    //使用循环来获取每一行的数据
                    foreach (DataRow row in rowsColl)
                    {
                        lStaff.Add(new Staff()
                        {
                            Name = (string)row["Name"],
                            Age = (int)row["Age"],
                            Sex = (bool)row["Sex"],
                            Height = (decimal)row["Height"],
                            Salary = (decimal)row["Salary"],
                            Department = (string)row["Department"]
                        });
                    }
                }
            }

　　

7.　SQL语句参数化查询

　　采用直接拼接sql语句字符串的方法

　　 cmd.CommandText = "select Salary from T_Staff WHERE Name = '" + tBoxStaffName.Text + "'";

　　 这里的tBoxStaffName.Text 通常是客户端的文本框上的内容，这样做容易出现SQL注入漏洞攻击。

　    cmd.CommandText = "select Salary from T_Staff WHERE Name = '1' or '1' = '1'";

　　 执行上的语句后，会把表中所有员工的工资都查出来，造成了数据的泄漏。

　　 为了避免这样的问题，我们使用参数化查询。

　　 1. 先将参数放入sql语句中，参数的格式： @Name ，必须以@开头

　　 2. 对参数进行赋值

                    //直接拼接字符串的查询语句，在输入 1' or '1' = '1 后，会出现SQL注入漏洞攻击
                    //cmd.CommandText = "select Salary from T_Staff WHERE Name = '" + tBoxStaffName.Text + "'";

                    //可以拥有多个参数
                    cmd.CommandText = "select Salary from T_Staff where Name = @Name and Age = @Age";
                    //需要对多个参数进行依次赋值
                    cmd.Parameters.Add(new SqlParameter("@Name", tBoxStaffName_Copy.Text));
                    cmd.Parameters.Add(new SqlParameter("@Age", tBoxStaffAge.Text));

　　 注意：参数不能用来替换表名、列名、select之类的关键字等。