如何在VB的SQL命令中使用参数“@”

Question

我有这段代码可以在 VB 中从文本框中的数据更新我的 SQL 数据库。我需要使用参数，以防文本包含一个tic 标记，'，或一个引号，，等。这是我所拥有的：

dbConn = New SqlConnection("server=.\SQLEXPRESS;Integrated Security=SSPI; database=FATP")
    dbConn.Open()

    MyCommand = New SqlCommand("UPDATE SeansMessage SET Message = '" & TicBoxText.Text & _
                                            "'WHERE Number = 1", dbConn)

    MyDataReader = MyCommand.ExecuteReader()
    MyDataReader.Close()
    dbConn.Close()

这是我根据我在网上看到的设置参数的蹩脚尝试，我不太了解。

dbConn = New SqlConnection("server=.\SQLEXPRESS;Integrated Security=SSPI; database=FATP")
    dbConn.Open()

    MyCommand = New SqlCommand("UPDATE SeansMessage SET Message = @'" & TicBoxText.Text & _
                                            "'WHERE Number = 1", dbConn)

    MyDataReader = MyCommand.ExecuteReader()
    MyDataReader.Close()
    dbConn.Close()

你是怎么做到的？因为如果我运行代码时文本框中有一个'标记，它会崩溃。

Answer 1

你在避免Bobby Tables的路上是正确的，但是你对@参数的理解是不完整的。

命名参数的行为类似于编程语言中的变量：首先，在 SQL 命令中使用它们，然后在 VB.NET 或 C# 程序中提供它们的值，如下所示：

MyCommand = New SqlCommand("UPDATE SeansMessage SET Message = @TicBoxText WHERE Number = 1", dbConn)
MyCommand.Parameters.AddWithValue("@TicBoxText", TicBoxText.Text)

注意你的命令文本是如何独立的：它不再依赖于文本框中的文本值，所以用户不能通过插入他们自己的命令来破坏你的 SQL。 @TicBoxText 成为代表命令文本中值的变量的名称；对AddWithValue 的调用提供了该值。之后，您的ExecuteReader 就可以使用了。

Answer 2

这里有很多改进：

Using dbConn As New SqlConnection("server=.\SQLEXPRESS;Integrated Security=SSPI; database=FATP"), _
      MyCommand As SqlCommand("UPDATE SeansMessage SET Message = @Message WHERE Number = 1", dbConn)

    'Make sure to use your exact DbType (ie: VarChar vs NVarChar) and size
    MyCommand.Parameters.Add("@Message", SqlDbType.VarChar).Value = TicBoxText.Text

    dbConn.Open()
    MyCommand.ExecuteNonQuery() ' don't open a data reader: just use ExecuteNonQuery
End Using 'Using block will close the connection for you