C# 中参数化拼接SQL语句插入数据库

三个步骤:

第一步:声明数据库连接对象:

Sqlconnection connection=new Sqlconnection(ConnectionString)

第二步:声明数据库 *** 作对象:

两种途径:

直接以字符串拼接的方式形成sql语句,比如:

sqlstr="insert into usertab(uid,pwd) values('"+uidtxt+"','"+pwdtxt+"')"

SqlCommand command = new SqlCommand(sqlstr, connection)

以参数占位的先行成形式语句,然后对参数实行绑定,比如:

sqlstr="insert into usertab(uid,pwd) values(@uidtxt,@pwdtxt)"

SqlCommand command = new SqlCommand(sqlstr, connection)

command.Parameters.Add("@uidtxt", SqlDbType.Text)

       command.Parameters["@uidtxt"].Value =uidtxt

command.Parameters.Add("@pwdtxt", SqlDbType.Text)

      command.Parameters["@pwdtxt"].Value =uidtxt

执行数据库 *** 作:

command.ExecuteNonQuery()

connection.close()

先给你一个方法，你可以让到相应的地方

public bool ExecuteSql(string SqlString,params OleDbParameter[] parameters)

{

bool result = false

OleConnection conn = new OleConnection("连接字符串")

OleDbCommand cmd = new OleDbCommand(SqlString, conn)

cmd.CommandType = CommandType.Text

if(parameters!=null)

{

foreach(OleDbParameter p in parameters)

{

if((p.Direction== ParameterDirection.Output)&&p.Value==null) p.Value = DBNull.Value

cmd.Parameters.Add(p)

}

}

try

{

conn.Open()

cmd.ExecuteNonQuery()

result = true

}

catch

{

}

finally

{

conn.Close()

}

return result

}

调用时：

string sql = "insert into tablename(name,sex,brithday,address,zip) values(@name,@sex,@brithday,@address,@zip)"

OleDbParameter[] parameters = new OleDbParameter[]{

new OleDbParameter("@name",namevalue),

new OleDbParameter("@sex",sexvalue),

new OleDbParameter("@brithday",brithdayvalue),

new OleDbParameter("@address",addressvalue),

new OleDbParameter("@zip",zipvalue)

}

bool flag = ExecuteSql(sql,parameters)

运行成功会返回真，否则为假，上面的值我没有写具体的，你自己写就行了

---