Использование параметров помогает предотвратить Атаки SQL-инъекций , когда база данных используется вместе с программным интерфейсом, таким как программа для ПК или веб-сайт.
В вашем примере пользователь может напрямуюзапустить код SQL в вашей базе данных, создав операторы в txtSalary.
Например, если бы они написали 0 OR 1=1, выполненный SQL был бы
SELECT empSalary from employee where salary = 0 or 1=1
, тогда как все empSalaries
Кроме того, пользователь может выполнять с вашей базой данных гораздо худшие команды, включая удаление, если они написали 0; Drop Table employee:
SELECT empSalary from employee where salary = 0; Drop Table employee
В этом случае таблица employee будет удалена..
В вашем случае похоже, что вы используете .NET.Использовать параметры так же просто, как:
C #
string sql = "SELECT empSalary from employee where salary = @salary";
using (SqlConnection connection = new SqlConnection(/* connection info */))
using (SqlCommand command = new SqlCommand(sql, connection))
{
var salaryParam = new SqlParameter("salary", SqlDbType.Money);
salaryParam.Value = txtMoney.Text;
command.Parameters.Add(salaryParam);
var results = command.ExecuteReader();
}
VB.NET
Dim sql As String = "SELECT empSalary from employee where salary = @salary"
Using connection As New SqlConnection("connectionString")
Using command As New SqlCommand(sql, connection)
Dim salaryParam = New SqlParameter("salary", SqlDbType.Money)
salaryParam.Value = txtMoney.Text
command.Parameters.Add(salaryParam)
Dim results = command.ExecuteReader()
End Using
End Using
Изменить 2016-4-25:
Согласно комментарию Джорджа Стокера, я изменил пример кода, чтобы не использовать AddWithValue.Кроме того, обычно рекомендуется заключать IDisposable s в using операторов.