欲使用数据命令将Transact-SQL语句传送至SQL Server来执行,请将Transact-SQL语句赋给SqlCommand对象的CommandText属性,并将SqlCommand对象的CommandType属性设置成CommandType.Text(此为默认值)。 在此要提醒大家,当您使用CommandType属性为Text的数据命令时,请先小心检查客户端传送出来的信息,然后才能将这些信息传递至您的数据库。恶意用户会尝试发送(插入)修改过或额外的SQL语句,以获取未经授权的访问权,甚至是破坏数据库。在将用户输入传输到数据库前,一定要确认信息是有效的。最好的做法是尽可能使用参数型查询或存储过程。 程序范例1 图 6-4所示是CH6_DemoForm003.cs的执行画面。它示范如何使用SqlCommand对象将Transact-SQL语句传送至SQL Server来执行,并藉此取得“飞狐工作室”数据表的员工人数。
相关程序代码编写于窗体的Load事件处理函数中,列示如下:
程序范例2 图 6-5所示是CH6_DemoForm004.cs的执行画面,它示范如何使用SqlCommand对象将TransactSQL语句传送至SQL Server来执行,并藉此取得“飞狐工作室”数据表的员工平均薪资。
相关程序代码编写于窗体的Load事件处理函数中,列示如下:
|