zoukankan      html  css  js  c++  java
  • SQL语句安全性与查询效率

    insertstr="insert into userinfo(name,password,email,phone,mobile,post,address) 

    VALUES(``"; 

    insertstr += this._name.Trim() 

    ;+ "``,``"; 

    insertstr += this._password.Trim() +"``,``"; 

    insertstr += this._email.Trim() +"``,``"; 

    insertstr += this._phone.Trim() +"``,``"; 

    insertstr += this._mobile.Trim() +"``,``"; 

    insertstr += this._post.Trim() +"``,``"; 

    insertstr += this._address.Trim() +"``)";

    1效率问题

    首先看看上边这段代码,效率太低了,这么多的字符串连接本身效率就够低的了,再加上这么些trim(),完全没有必要。

    2安全性

    同上,利用单引号我可以做很多事,比如运行个xp_cmd命令,那你就惨了,呵呵。

    那么,怎样来写呢,上面这段代码可以改成这样:

    以下为引用的内容:

    string strSql = "insert into sometable (c1 , c2 , c3 , ...) values(@c1 , @c2 , 

    @c3,...)" 

    SqlCommand myCommand = new SqlCommand(strSql , myConn) 

    try 

    myCommand.Parameters.Add(new SqlParameters("@c1" , SqlDataType.VarChar , 20) 

    myCommand.Parameters["@c1"].Value = this._Name ; 

    ....

    catch(...) 

    ...

    既可以避免低效率的字符串连接,又利用sqlcommand参数有效性检测来避免非法字符,并且这种parameter方式是预编译的,效率高。

  • 相关阅读:
    发送邮件
    php防止表单重复提交
    mysql 优化之注意
    mysqldump
    项目中下拉框链接问题
    css在IE和Firefox下的兼容性
    利用curl并发来提高页面访问速度
    修改linux下mysql目录权限
    ajax跨域
    wireshark抓包
  • 原文地址:https://www.cnblogs.com/zzxap/p/2175571.html
Copyright © 2011-2022 走看看