Question

MSSQL和Oracle中使用参数的区别

Answer 1

MSSQL和Oracle中的参数传值总结：
①在MSSQL中，
1.定义的参数使用@；
2.传参类型可以直接在new SqlParameter("@id",SqlDbType.Int) 写出来就可以；
3.传参的不要在@id之类的上面单引号。
②在Oracle中，
1.定义的参数使用?代替，起占位作用
2.传参类型可以在new SqlParameter("@id",SqlDbType.Varchar)
写出来，发现这里直接写实在不好转换，把转换丢在PL/SQL语句里面方便点： to_number(?)
③安全性
以前喜欢拼接字符串，然后用一段代码过滤：
/// <summary>
/// 检查传入字符串是否包含sql语句
/// </summary>
/// <param name="str">传入字符串</param>
/// <returns>包含返回true,不包含返回false</returns>
public bool FilterSql(string str)
{
string word = "and|exec|insert|select|delete|update|chr|mid|master|or|truncate|char|declare|join|cmd";
if (str == null)
{
return false;
}
foreach (string i in word.Split('|'))
{
if (str.ToLower().IndexOf(i + " ") > -1 || (str.ToLower().IndexOf(" " + i) > -1))
{
return true;
}
}
return false;
}

Answer 2

①在MSSQL中，

1.定义的参数使用 @；

2.传参类型可以直接在 new SqlParameter("@id",SqlDbType.Int) 写出来就可以；

3.传参的不要 在 @id 之类的上面单引号，不管 @id 是什么数据类型;(PS:20131112更新，血的教训！！！)

②在Oracle中，

1.定义的参数使用 ?，可以用 ? 完全代替，诶，以前不知道。

2.传参类型可以在 new SqlParameter("@id",SqlDbType.Varchar) 写出来，发现这里直接写实在不好转换，把转换丢在PL/SQL语句里面方便点： to_number(?)

Answer 3

使用什么参数的区别，比如呢？