参数化sql语句
㈠ 参数化查询的sql 指令撰写方法
在撰写 SQL 指令时，利用参数来代表需要填入的数值，例如： Microsoft SQL Server 的参数格式是以 @ 字符加上参数名称而成，SQL Server 亦支持匿名参数 ?。
SELECT * FROM myTable WHERE myID = @myID
INSERT INTO myTable (c1, c2, c3, c4) VALUES (@c1, @c2, @c3, @c4) Microsoft Access 不支持具名参数，只支持匿名参数 ?。
UPDATE myTable SET c1 = ?, c2 = ?, c3 = ? WHERE c4 = ? MySQL 的参数格式是以 ? 字符加上参数名称而成。
UPDATE myTable SET c1 = ?c1, c2 = ?c2, c3 = ?c3 WHERE c4 = ?c4 SqlCommand sqlcmd = new SqlCommand(INSERT INTO myTable (c1, c2, c3, c4) VALUES (@c1, @c2, @c3, @c4), sqlconn);
sqlcmd.Parameters.AddWithValue(@c1, 1); // 设定参数 @c1 的值。
sqlcmd.Parameters.AddWithValue(@c2, 2); // 设定参数 @c2 的值。
sqlcmd.Parameters.AddWithValue(@c3, 3); // 设定参数 @c3 的值。
sqlcmd.Parameters.AddWithValue(@c4, 4); // 设定参数 @c4 的值。
sqlconn.Open();
sqlcmd.ExecuteNonQuery();
sqlconn.Close(); $query = sprintf(SELECT * FROM Users where UserName='%s' and Password='%s',
mysql_real_escape_string($Username),
mysql_real_escape_string($Password));
mysql_query($query);
或是
$db = new mysqli(localhost, user, pass, database);
$stmt = $mysqli -> prepare(SELECT priv FROM testUsers WHERE username=? AND password=?);
$stmt -> bind_param(ss, $user, $pass);
$stmt -> execute(); PreparedStatement prep = conn.prepareStatement(SELECT * FROM USERS WHERE USERNAME=? AND PASSWORD=?);
prep.setString(1, username);
prep.setString(2, password); <cfquery name=Recordset1 datasource=cafetownsend>
SELECT *
FROM COMMENTS
WHERE COMMENT_ID =<cfqueryparam value=#URL.COMMENT_ID# cfsqltype=cf_sql_numeric>
</cfquery>
㈡ c# sql语句 提交内容带有单引号导致sql语句执行失败，如何处理
方法1：字符串格式化
例如：
string.Format("select * from 表 where 列='{0}' ",值);
方法2：参数化SQL语句
例如：
SqlParamater para=new SqlParamater("@参数",值);
"select * from 表 where 列=@参数";
㈢ sql为什么要参数化，怎么参数化
一、最主要是： 数据库 机制问题，参数化 可以加快 执行效率，数据库有个缓存区，可以缓存 非参数部分的语句（或者说 下次执行不用数据库再次 解析语句），而不用参数，每次数据库 都需要解析 语句
二、次要是：防止，sql语句特殊字，注入：减少，字符转义等
三、清晰 便于理解
㈣ 如何从根本上防止 sql 注入
参数化sql语句
请采纳！
具体原因，请采纳以下信息:
针对于SQL注入，则是用户提交的数据，被数据库系统编译而产生了开发者预期之外的动作。也就是，SQL注入是用户输入的数据，在拼接SQL语句的过程中，超越了数据本身，成为了SQL语句查询逻辑的一部分，然后这样被拼接出来的SQL语句被数据库执行，产生了开发者预期之外的动作。
所以从根本上防止上述类型攻击的手段，还是避免数据变成代码被执行，时刻分清代码和数据的界限。而具体到SQL注入来说，被执行的恶意代码是通过数据库的SQL解释引擎编译得到的，所以只要避免用户输入的数据被数据库系统编译就可以了。
现在的数据库系统都提供SQL语句的预编译（prepare）和查询参数绑定功能，在SQL语句中放置占位符'?'，然后将带有占位符的SQL语句传给数据库编译，执行的时候才将用户输入的数据作为执行的参数传给用户。这样的操作不仅使得SQL语句在书写的时候不再需要拼接，看起来也更直接，而且用户输入的数据也没有机会被送到数据库的SQL解释器被编译执行，也不会越权变成代码。
至于为什么这种参数化的查询方式没有作为默认的使用方式，我想除了兼容老系统以外，直接使用SQL确实方便并且也有确定的使用场合。
多说一点，从代码的角度来看，拼接SQL语句的做法也是不恰当的。
㈤ ado.net 中参数化查询sql语句，参数附近语法错误
exec sp_executesql N'SELECT COUNT(*) FROM T_Procts where 1=1 and ProctName=@strWhere',N'@strWhere nvarchar(4000)',@strWhere=N''
@strWhere只能是单列的值，如果要绑定多条件用字符串拼接
DECLARE @sql nvarchar(4000)
DECLARE @strWhere nvarchar(4000)
SET @strWhere =N' 1=1'
SET @sql=N'SELECT COUNT(*)'
+N' FROM T_Procts where '+@strWhere
EXEC sp_executesql @sql
㈥ 带参数的sql语句!不懂
sql ="insert into note(title,author,content) values(?,?,?)";
上面的这样的就是带参数的SQL语句。
下面的那样的就是存储过程。
set rs=server.CreateObject("adodb.recordset")
sql="select * from note"
rs.open sql,conn,1,3
rs.addnew
rs("title")=？
rs("author")=？
rs("content")=?
rs.update
rs.close
set rs=nothing
带参数的SQL语句的优点：不用关心语句的单引号的问题了
，令外可以有效的防止SQL注入的非法入侵，这样写程序在编译的时候就把那语句编译了，不会与其它字符匹配了，这就是防止SQL注入的问题了，
唯一的缺点就是占用系统资源的问题了，因为它是早被预编译好的东西，所以系统在调用的时候是直接使用的，不需要再次进行对SQL语句进行编译了，如果项目小的话，少量的这样的代码可以不用计较资源的问题了