例子： 点击Button1按钮的时候就把数据插入数据库中。 代码如下:using System;using System.Collections.Generic;using System.Linq;using System.Web;using System.Web.UI;using System.Web.UI.WebControls;using System.Text;using System.Data.SqlClient;using System.Data;using System.Configuration;
namespace ParaMeter{ public partial
在.NET开发中，数据库操作是常见的任务之一，而防止SQL注入是确保系统安全的重要环节。在给定的代码示例中，使用了`SqlParameter`来实现数据库插入操作，并且有效地防止了SQL注入攻击。以下是对这段代码的详细解析：
1. **SqlConnection与ConnectionString**:
`SqlConnection`是.NET Framework中的类，用于连接SQL Server数据库。在`Page_Load`事件处理程序中，创建了一个`SqlConnection`实例`conDB`，并设置了连接字符串`connectionStr`。连接字符串包含了服务器地址、数据库名称、用户名和密码等信息。
2. **SqlCommand与SqlTransaction**:
在`Button1_Click`事件处理程序中，虽然没有直接使用`SqlTransaction`，但在实际应用中，它用于处理数据库事务，可以确保一系列操作要么全部成功，要么全部回滚，以保持数据的一致性。`SqlTransaction`可以通过`SqlConnection.BeginTransaction()`方法创建。
3. **防止SQL注入**:
SQL注入是通过输入恶意的SQL语句来攻击数据库的一种常见方式。在示例中，使用`SqlParameter`对象来传递动态值到SQL语句，避免了直接拼接字符串。例如：
```csharp
SqlParameter[] parameters = {
new SqlParameter("@fileName", SqlDbType.NVarChar, 100),
new SqlParameter("@delete", SqlDbType.Bit),
};
parameters[0].Value = "文件类型";
parameters[1].Value = false;
```
这样，即使用户输入的数据包含特殊字符或SQL命令，也不会影响到SQL语句的执行，因为参数化查询会将它们当作普通字符串处理。
4. **执行SQL语句**:
`ExecUpdateSql`方法用于执行更新（INSERT、UPDATE、DELETE）类型的SQL语句。它接受一个SQL字符串和一个`SqlParameter`数组作为参数。在方法内部，创建了一个`SqlCommand`对象，设置其`CommandText`为SQL语句，并添加了参数。然后，通过`ExecuteNonQuery`方法执行SQL命令，该方法返回受影响的行数。
5. **异常处理与结果反馈**:
示例中，`ExecUpdateSql`方法返回一个布尔值，表示操作是否成功。在`Button1_Click`中，根据这个返回值设置Label1的文本，向用户显示操作结果。
总结，这段代码展示了如何使用C#和.NET Framework进行数据库操作，特别是通过`SqlParameter`防止SQL注入，保证了应用程序的安全性。同时，也演示了如何创建数据库连接、执行SQL命令以及处理操作结果的基本步骤。在实际项目中，还需要考虑错误处理、连接管理（如使用`using`语句）、事务处理等最佳实践，以提高代码的健壮性和效率。
