完整修改和删除以及防字符串注入攻击

完整修改：

//1、接收用户输入进来的学生编号
                Console.Write("请输入要修改的学生编号：");
                string Scode = Console.ReadLine();

                //2、判断有无此学生
                SqlConnection conn = new SqlConnection("server=.;database=Data0425;user=sa;pwd=123;");
                SqlCommand cmd = conn.CreateCommand();
                cmd.CommandText = "select *from Student where code ='" + Scode + "'";
                conn.Open();
                SqlDataReader dr = cmd.ExecuteReader();
                //3、有此学生，那么继续修改操作，如果没有，提示无此学生信心，无法修改
                if (dr.HasRows)
                {
                    HasStu = true;
                }
                else
                {
                    HasStu = false;
                }
                conn.Close();

                if (HasStu)
                {
                    Console.WriteLine("已查询到此学生信息，请进行修改：");
                    Console.Write("请输入更改后的学生姓名：");
                    string Sname = Console.ReadLine();
                    Console.Write("请输入更改后的学生性别：");
                    bool Ssex = Convert.ToBoolean(Console.ReadLine());
                    Console.Write("请输入更改后的学生生日：");
                    DateTime Sbirthday = Convert.ToDateTime(Console.ReadLine());
                    Console.Write("请输入更改后的学生成绩：");
                    decimal Sscore = Convert.ToDecimal(Console.ReadLine());

                    cmd.CommandText = "update student set name='" + Sname + "',sex='" + Ssex + "',birthday='" + Sbirthday + "',score=" + Sscore                        + " where code = '" + Scode + "'";

                    conn.Open();
                    cmd.ExecuteNonQuery();
                    Console.WriteLine("修改成功！");
                    conn.Close();
                    break;
                }
                else
                {
                    Console.WriteLine("查无此学生，请重新输入！按任意键继续...");
                    Console.ReadKey();
                    Console.Clear();
                }
            }

            Console.ReadLine();

删除与修改的判断一样，只是吧修改语句改成删除语句。

防止字符串注入攻击：

cmd.CommandText = "update student set name=@Sname,sex=@Ssex,birthday=@Sbirthday,score=@Sscore where code = @Scode";//sql语句中用@索引代替本该添加的数  据。
cmd.Parameters.Clear();//用之前清空一下集合
cmd.Parameters.Add("@Sname", Sname);//向集合内添加数据，前面带@的是索引号，后面是添加的数据，所有类型都可以添加。
cmd.Parameters.Add("@Ssex", Ssex);
cmd.Parameters.Add("@Sbirthday", Sbirthday);
cmd.Parameters.Add("@Sscore", Sscore);
cmd.Parameters.Add("@Scode", Scode);