Aggiungendo i parametri agli ordini

Nel funzionare con i dati, desidererete spesso filtrare i risultati basati su alcuni test di verifica.�Tipicamente, questo � fatto accettando l'input da un utente ed usando quell'input per formare una domanda di SQL.

Com'� noto, la domanda di SQL assegnata ad un oggetto di SqlCommand � semplicemente una stringa.�Cos�, se desiderate filtrare una domanda, potreste costruire dinamicamente la stringa, ma non desiderereste a.�Qui � un esempio difettoso di filtrazione della domanda.

Non sviluppare mai una domanda questo senso!�La variabile dell'input, inputCity, � richiamata tipicamente da un controllo del TextBox su una forma di Windows o su un Web page.�Qualche cosa disposto in quel controllo del TextBox sar� messo nel inputCity e sar� aggiunto alla vostra stringa di SQL.�Questa situazione invita un hacker a sostituire quella stringa con qualche cosa di cattivo. Nel nel peggiore dei casi, potreste date il controllo completo del vostro calcolatore via.

Usando le domande parametrizzate � un processo in tre tappe:

1. Costruire la stringa di ordine di SqlCommand con i parametri.

2. Dichiarare un oggetto di SqlParameter, assegnante i valori come adatti.

3. Assegnare Object di SqlParameter alla propriet� di parametri delObject di SqlCommand.

in primo luogo fa un passo nel usando i parametri nelle domande di SQL deve costruire una stringa di ordine che contiene i placeholders di parametro. Questi placeholders sono riempiti di valori di parametro reale quando lo SqlCommand esegue.�La sintassi adeguata di un parametro � di usare �@� un prefisso di simbolo sul nome di parametro come indicato qui sotto: