参数命令化 防止Sql注入

1.先在数据库中完成储存过程

create proc usp_selectStudent

@studentName nvarchar(10)

as

select * froom student where StudentName=@studentNanme

go

2.然后再C#程序中调用储存过程防止Sql注入

    //1.1  连接字符串

    string str = "data source=.;initial catalog=MySchool;uid=sa;pwd=6375196";

    //1.2 创建连接对象    呵呵

    SqlConnection con = new SqlConnection(str);

    //创建SqlCommand 对象的第二种方式

    //从Con出发

    //1.3  从连接对象构建命令对象

    SqlCommand cmd = con.CreateCommand();

    //1.4  给命令对象需要执行的SQL语句赋值

    cmd.CommandText = "usp_selectInfo";

    //告诉SQL引擎我传递过来的是        存储过程的名称

    //1.5  我们告诉SQL引擎   我通过网线送过去的字符串是  一个存储过程的名字啊

     cmd.CommandType= CommandType.StoredProcedure;

     //1.6   构建存储过程的输入参数，并且给参数赋值，

     //参数的名称必须和定义存储过程的输入参数名称完成相同

     SqlParameter para=new SqlParameter("@sex","");

     //1.7   将参数和命令对象的参数集合绑定

     cmd.Parameters.Add(para);

     //1.8  打开数据库连接通道真正建立

     con.Open();

     //1.9   构建一个适配器 ）卡车（ 对象

     SqlDataAdapter da=new SqlDataAdapter();

     //1.10  将已经初始化好的cmd对象和da绑定

     da.SelectCommand = cmd;

     //1.11   构建内存中的数据集对象

     DataSet ds=new DataSet();

     //1.12   从DB   拎    数据到DataSet 中的一张表

     da.Fill(ds, "StuInfo");

     //1.13    将dgv的数据源指向表

     dgvList.DataSource = ds.Tables["StuInfo"];

     //1.14    连接关闭

      con.Close();