1. 程式人生 > >C# sql語句拼接時 like情況的防sql注入的用法

C# sql語句拼接時 like情況的防sql注入的用法

如這樣一個sql語句:
select * from game where gamename like '%張三%'

用c#表示的話:

 string keywords = "張三";
            StringBuilder strSql=new StringBuilder();
            strSql.Append("select * from game where gamename like @keywords");

            SqlParameter[] parameters=new SqlParameter[]
            {
                new SqlParameter("@keywords","%"+keywords+"%"), 
            };

這裡雖然採用了仍然是用% 來寫,但是可以有效過濾sql注入的情況,還是挺簡單實用。

是個小知識點,希望對你能有所幫助! ^_^

原文出處:https://www.cnblogs.com/woaic/p/csharp_SqlParameter_like.html