Question

【asp.net】后台写sql语句，如何把session语句传递进去

Session["teaId"] = "1";
string teaId = Session["teaId"].ToString();
//获取当前老师第一堂课程的id
SqlConnection con = new SqlConnection("server=.;database=Indivicute;uid=sa;pwd=123456;");
SqlDataAdapter sdaa = new SqlDataAdapter("SELECT * FROM [lecture] WHERE teaId= 【teaID】;", con);

请问WHERE teaId=teaId。这里这么写？

Answer 1

asp.net中使用ado.net访问数据库按照步骤实现。
查询语句中的参数使用SqlCommand 来处理
参考代码：

//从配置文件中读取数据库连接字符串
private readonly static string connString = ConfigurationManager.ConnectionStrings["accpConnectionString"].ToString();

// 构建选择的sql语句
string sql = "select * from lecture where teatId=@teatId";

using (SqlConnection conn = new SqlConnection(connString))
{
SqlCommand objCommand = new SqlCommand(sql, conn);
objCommand.Parameters.Add("@teatId", SqlDbType.Int).Value = teatId;
conn.Open();
......
}
}

追问

太复杂了，也可以是SELECT * FROM [lecture] WHERE teaId='" + int.Parse(Session["teaId"].ToString()) + "' ;"

追答

这样写会有sql注入问题

Answer 2

SqlDataAdapter sdaa = new SqlDataAdapter("SELECT * FROM [lecture] WHERE teaId= @teaId;", con);

SqlParameter para=new SqlParameter("@teaId",teaId);
sdaa.SelectCommand.Parameters.Add(para);