zoukankan      html  css  js  c++  java
  • SQL语句安全性与查询效率

    insertstr="insert into userinfo(name,password,email,phone,mobile,post,address) 

    VALUES(``"; 

    insertstr += this._name.Trim() 

    ;+ "``,``"; 

    insertstr += this._password.Trim() +"``,``"; 

    insertstr += this._email.Trim() +"``,``"; 

    insertstr += this._phone.Trim() +"``,``"; 

    insertstr += this._mobile.Trim() +"``,``"; 

    insertstr += this._post.Trim() +"``,``"; 

    insertstr += this._address.Trim() +"``)";

    1效率问题

    首先看看上边这段代码,效率太低了,这么多的字符串连接本身效率就够低的了,再加上这么些trim(),完全没有必要。

    2安全性

    同上,利用单引号我可以做很多事,比如运行个xp_cmd命令,那你就惨了,呵呵。

    那么,怎样来写呢,上面这段代码可以改成这样:

    以下为引用的内容:

    string strSql = "insert into sometable (c1 , c2 , c3 , ...) values(@c1 , @c2 , 

    @c3,...)" 

    SqlCommand myCommand = new SqlCommand(strSql , myConn) 

    try 

    myCommand.Parameters.Add(new SqlParameters("@c1" , SqlDataType.VarChar , 20) 

    myCommand.Parameters["@c1"].Value = this._Name ; 

    ....

    catch(...) 

    ...

    既可以避免低效率的字符串连接,又利用sqlcommand参数有效性检测来避免非法字符,并且这种parameter方式是预编译的,效率高。

  • 相关阅读:
    查询长事务和SQL执行等待间隔时间
    一条诡异的SQL
    查询表的使用空间和可用空间
    查询SQL Server存储过程的执行信息
    清理大批量数据例子
    sql server 清理日志存储过程
    BCP 实例
    SQL Server 查询Job中的存储过程
    下车扫描五次优化全过程
    empty、isset和is_null的比较
  • 原文地址:https://www.cnblogs.com/zzxap/p/2175571.html
Copyright © 2011-2022 走看看