带有多个where条件错误的sql删除语句

Question

这是正确的说法，如果不是请帮助我纠正它。

String query = "delete from favourite where username=" + 
               Session["username"].ToString() + "and id=" + id;

Answer 1

如果您的问题纯粹是关于 SQL，那么是的，您所拥有的将起作用。但是，正如您所拥有的那样，您有一个非常严重的安全问题。谷歌“SQL 注入攻击”。我不确定您使用什么进行数据访问（ADO.NET？Entiry Framework？Dapper？）但无论如何，您都需要使用参数：

var sql = "delete from favourite where username=@username and id=@id";

然后：

cmd.Parameters.AddWithValue("@username", Session["username"].ToString());
cmd.Parameters.AddWithValue("@id", id);

但即便如此，AddWithValue 也不是最好的方法，因为一旦查询到达数据库，它就会导致类型转换问题。你最好直接写：

var userNameParam = new SqlParameter("username", SqlDbType.VarChar);
userNameParam.Value = Session["username"].ToString();

var idParam = new SqlParameter("id", SqlDbType.Int);
idParam .Value = id;

command.Parameters.Add(salaryParam);
command.Parameters.Add(idParam );