在ADO.NET中經常需要跟各種資料庫打交道，在不實用儲存過程的情況下，使用引數化SQL語句一定程度上可以防止SQL注入，同時對一些較難賦值的欄位（如在SQL Server中Image欄位，在Oracle中Clob欄位等）使用引數化SQL語句很容易就能賦值，所以本人經常在ADO.NET中使用引數化SQL語句，近幾年來陸續跟SQL Server/Oracle/ MySQL/Access打交道，積累了一些心得，現在整理出來供大家參考。

我們假設資料可的結構如下圖（設定的資料庫為Oracle10g）：

它在SQL Server中的建立語句是：
 

create table S_Admin (
   UserName             varchar(60)          not null,
   Password             varchar(60)          not null,
   Remark               varchar(50)          null,
   Mail                 varchar(120)         not null,
   AddDate              datetime             null default GETDATE(),
   LoginDate            datetime             null default GETDATE(),
   LoginIP              varchar(50)          null,
   Active               smallint             null default 1,
   LoginCount           int                  null default 1,
   Power                int                  null default 0,
   Departid             int                  null default 0,
   constraint PK_S_ADMIN primary key nonclustered (UserId)
)
go 下面假設資料庫的主鍵都採用了資料庫的本地化技術解決了（例如在Access、SQL Server和MySQL中採用自增欄位，在Oracle中使用了sequence結合觸發器），假如在Oracle中向表中插入一記錄的程式碼如下：   using System;
using System.Data;
using System.Configuration;
using System.Web;
using System.Web.Security;
using System.Web.UI;
using System.Web.UI.WebControls;
using System.Web.UI.WebControls.WebParts;
using System.Web.UI.HtmlControls;
using System.Data.OracleClient;

///<summary>/// 在Oracle中使用引數化SQL的例子
/// 程式碼編寫：周公
/// 日期：2008-3-19
///
///</summary>public class OracleUtil
{
    public OracleUtil()
    {
        
    }

    public bool InsertAdmin(string userName, string password, string remark, string mail, int departId, int power)
    {
        string sql = "insert into S_Admin(UserName,Password,Remark,Mail,DepartId,Power)values(:UserName,:Password,:Remark,:Mail,:DepartId,:Power)";
        OracleConnection connection = new OracleConnection();
        connection.ConnectionString = "";//此處設定連結字串        OracleCommand command = new OracleCommand(sql, connection);
        command.Parameters.Add(":UserName", OracleType.NVarChar, 60).Value = userName;
        command.Parameters.Add(":Password", OracleType.NVarChar, 60).Value =password;
        command.Parameters.Add(":Remark", OracleType.NVarChar, 60).Value = remark;
        command.Parameters.Add(":Mail", OracleType.NVarChar, 60).Value =mail;
        command.Parameters.Add(":DepartId", OracleType.Int32, 4).Value =departId;
        command.Parameters.Add(":Power", OracleType.Int32, 4).Value = power;
        connection.Open();
        int rowsAffected=command.ExecuteNonQuery();
        connection.Close();
        command.Dispose();
        return rowsAffected > 0;
    }
} 在MySQL中增加同樣一條記錄的程式碼如下（需要到MySQL官方網站下載.net驅動程式）：   using System;
using System.Data;
using System.Configuration;
using System.Web;
using System.Web.Security;
using System.Web.UI;
using System.Web.UI.WebControls;
using System.Web.UI.WebControls.WebParts;
using System.Web.UI.HtmlControls;
using MySql.Data;
using MySql.Data.MySqlClient;

///<summary>/// 在MySQL中使用引數化SQL的例子
/// 程式碼編寫：周公
/// 日期：2008-3-19
/// 發表網址：
///</summary>public class MySqlUtil
{
    public MySqlUtil()
    {
        
    }

    public bool InsertAdmin(string userName, string password, string remark, string mail, int departId, int power)
    {
        string sql = "insert into S_Admin(UserName,Password,Remark,Mail,DepartId,Power)values(?UserName,?Password,?Remark,?Mail,?DepartId,?Power)";
        MySqlConnection connection = new MySqlConnection();
        connection.ConnectionString = "";//此處設定連結字串        MySqlCommand command = new MySqlCommand(sql, connection);
        command.Parameters.Add("?UserName", MySqlDbType.VarChar, 60).Value = userName;
        command.Parameters.Add("?Password", MySqlDbType.VarChar, 60).Value = password;
        command.Parameters.Add("?Remark", MySqlDbType.VarChar, 60).Value = remark;
        command.Parameters.Add("?Mail", MySqlDbType.VarChar, 60).Value = mail;
        command.Parameters.Add("?DepartId", MySqlDbType.Int32, 4).Value = departId;
        command.Parameters.Add("?Power", MySqlDbType.Int32, 4).Value = power;
        connection.Open();
        int rowsAffected = command.ExecuteNonQuery();
        connection.Close();
        command.Dispose();
        return rowsAffected > 0;
    }
} 在SQL Server中增加同樣一條記錄的程式碼如下：   using System;
using System.Data;
using System.Data.SqlClient;
using System.Configuration;
using System.Web;
using System.Web.Security;
using System.Web.UI;
using System.Web.UI.WebControls;
using System.Web.UI.WebControls.WebParts;
using System.Web.UI.HtmlControls;

///<summary>/// 在SQL Server中使用引數化SQL的例子
/// 程式碼編寫：周公
/// 日期：2008-3-19
//////</summary>public class SqlUtil
{
    public SqlUtil()
    {
        
    }

    public bool InsertAdmin(string userName, string password, string remark, string mail, int departId, int power)
    {
        string sql = "insert into S_Admin(UserName,Password,Remark,Mail,DepartId,Power)values(@UserName,@Password,@Remark,@Mail,@DepartId,@Power)";
        SqlConnection connection = new SqlConnection();
        connection.ConnectionString = "";//此處設定連結字串        SqlCommand command = new SqlCommand(sql, connection);
        command.Parameters.Add("@UserName",SqlDbType.NVarChar, 60).Value = userName;
        command.Parameters.Add("@Password", SqlDbType.NVarChar, 60).Value = password;
        command.Parameters.Add("@Remark", SqlDbType.NVarChar, 60).Value = remark;
        command.Parameters.Add("@Mail", SqlDbType.NVarChar, 60).Value = mail;
        command.Parameters.Add("@DepartId", SqlDbType.Int, 4).Value = departId;
        command.Parameters.Add("@Power", SqlDbType.Int, 4).Value = power;
        connection.Open();
        int rowsAffected = command.ExecuteNonQuery();
        connection.Close();
        command.Dispose();
        return rowsAffected > 0;
    }
} 在Access中增加同樣一條記錄的程式碼如下：   using System;
using System.Data;
using System.Configuration;
using System.Web;
using System.Web.Security;
using System.Web.UI;
using System.Web.UI.WebControls;
using System.Web.UI.WebControls.WebParts;
using System.Web.UI.HtmlControls;
using System.Data.OleDb;

///<summary>/// 在Access中使用引數化SQL的例子
/// 程式碼編寫：周公
/// 日期：2008-3-19
/// 發表網址：///</summary>public class AccessUtil
{
    public AccessUtil()
    {
        
    }

    public bool InsertAdmin(string userName, string password, string remark, string mail, int departId, int power)
    {
        string sql = "insert into S_Admin(UserName,Password,Remark,Mail,DepartId,Power)values(?,?,?,?,?,?)";
        OleDbConnection connection = new OleDbConnection();
        connection.ConnectionString = "";//此處設定連結字串
        //注意下面引數的順序一定要按照sql語句中的插入的列的順序賦值，否則一定會報異常        OleDbCommand command = new OleDbCommand(sql, connection);
        command.Parameters.Add("?", OleDbType.LongVarWChar, 60).Value = userName;
        command.Parameters.Add("?", OleDbType.LongVarWChar, 60).Value = password;
        command.Parameters.Add("?", OleDbType.LongVarWChar, 60).Value = remark;
        command.Parameters.Add("?", OleDbType.LongVarWChar, 60).Value = mail;
        command.Parameters.Add("?", OleDbType.Integer, 4).Value = departId;
        command.Parameters.Add("?", OleDbType.Integer, 4).Value = power;
        connection.Open();
        int rowsAffected = command.ExecuteNonQuery();
        connection.Close();
        command.Dispose();
        return rowsAffected > 0;
    }
} 需要說明的是，除了Access之外，操作其它資料庫可以不必要按照引數在SQL語句中出現的順序新增進去一樣可以正確執行，但是在Access中一定按照插入的列的順序新增引數，因為“OLE DB.NET Framework 資料提供程式使用標有問號 (?) 的定位引數，而不使用命名引數（MSDN）”,所以給新增引數和賦值一定要按照列的順序。

通過上面的例子，基本上可以總結出一個規律：在引數化SQL中引數名的格式跟其在儲存過程中生命儲存過程引數一致，例如在Oracle中儲存過程引數一律以”:”開頭，在MS SQL Server中儲存過程引數一律以”@”開頭，而在MySQL中儲存過程（MySQL從5.0以後版本支援儲存過程）引數一律以“？”開頭，所以在引數化SQL語句中引數名有些不一樣（記得在csdn上有朋友提到過不知道為什麼MySQL中引數化SQL語句中要用“？”而不是和SQL Server一樣使用”@”），如果那位朋友看過本文，我想他就會解開這個疑慮了。