c# - 参数化 sql 查询 - asp.net/c#

Question

所以我最近了解到，我绝对应该使用参数化查询来避免 SQL 注入(inject)等安全问题。一切都很好，我让它工作了。

这段代码展示了一些我是如何做到的:

param1 = new SqlParameter();
param1.ParameterName = "@username";
param1.Value = username.Text;
cmd = new SqlCommand(str, sqlConn);
cmd.Parameters.Add(param1);

//and so on

但问题是，我有超过 14 个变量需要保存到数据库中，就像注册表一样。如果我必须将这些行写 14 次来参数化每个变量，那看起来真的很乱。有没有更动态的方式来做到这一点？比如使用 for 循环之类的东西并以某种方式参数化循环中的每个变量？

Answer 1

使用单行 SqlParameterCollection.AddWithValue方法

cmd.Parameters.AddWithValue("@username",username.Text);