Question

sql语句什么时候用参数化语句,什么时候用占位符

asp.net中对数据操作sql语句什么时候用参数化语句（即像用@id这种形式）,什么时候用占位符string.format(sql, '{0}',{1}),现在感觉有点晕了。有时参数化老出错，用占位符就可以。。 希望能得到帮助。。。先感谢

Answer 1

sqlparameter是为了防止你的数据类型不对。
string.format(sql, '{0}',{1})是不工会管这些的,这样会造成如果有人恶意拼写参数，会执行某些恶意的sql,你的网站就危险了。

追问

哦，sqlparameter是为了防止你的数据类型不对。这句话让我恍然大悟，以前只知道它的作用，不懂它的原理。谢谢啊

Answer 2

我的问题，跟你差不多。