Ao trabalhar com dados, você quererá frequentemente filtrar os resultados baseados em alguns critérios. Tipicamente, isto é feito aceitando a entrada de um usuário e usando essa entrada dar forma a uma pergunta do SQL.

Como você sabe, a pergunta do SQL atribuída a um objeto de SqlCommand é simplesmente uma corda. Assim, se você quisesse filtrar uma pergunta, você poderia construir a corda dinâmicamente, mas você não quereria a. Está aqui um exemplo mau de filtrar uma pergunta.

Não construir sempre uma pergunta esta maneira! A variável da entrada, inputCity, é recuperada tipicamente de um controle do TextBox em um formulário de Windows ou em um Web page. Qualquer coisa colocado nesse controle do TextBox será posto no inputCity e adicionado a sua corda do SQL. Esta situação convida um hacker substituir essa corda com o algo malicioso. No caso o mais mau, você poderia dá o controle cheio de seu computador afastado.

Usar perguntas parameterized é etapa três process:

1. Construir a corda de comando de SqlCommand com parâmetros.

2. Declarar um objeto de SqlParameter, atribuindo valores como apropriados.

3. Atribuir o objeto de SqlParameter à propriedade dos parâmetros do objeto de SqlCommand.

pisa primeiramente em usar parâmetros em perguntas do SQL deve construir uma corda de comando que contem placeholders do parâmetro. Estes placeholders estão preenchidos com os valores de parâmetro real quando o SqlCommand executa. A sintaxe apropriada de um parâmetro é usar “@” um prefixo do símbolo no nome do parâmetro como mostrado abaixo: