在SQL命令中调用的ASP.NET参数(代码隐藏)

Question

如何在sql命令exp中调用asp参数:

cmd.CommandText = "SELECT name FROM server WHERE code="+TextBox1.Text;

这是对的吗？.

Answer 1

(尝试并且没有抑制颤抖)

 cmd.CommandText =  "SELECT name FROM server WHERE code=@code";
 cmd.Parameters.AddWithValue("code", TextBox1.Text);

否则,你刚刚成熟的SQL注入.

切勿将用户输入加入命令