Tag: parameterized query

参数化查询如何帮助防范SQL注入？

在查询1和2中，文本框中的文本都被插入到数据库中。 这里的参数化查询有什么意义？ 1。> ————- SqlCommand cmd = new SqlCommand("INSERT INTO dbo.Cars " +"VALUES(@TagNbr);" , conn); cmd.Parameters.Add("@TagNbr", SqlDbType.Int); cmd.Parameters["@TagNbr"].Value = txtTagNumber.Text; 2。> ————– int tagnumber = txtTagNumber.Text.ToInt16(); /* EDITED */ INSERT into Cars values(tagnumber.Text); /* then is it the same? */ 此外，在这里我会使用正则expression式validation来停止插入非法字符。