ADO多条件模糊查询防字符串攻击

多条件组合查询使用字符串拼接TSQL语句来实现

 1 void Button1_Click(object sender, EventArgs e)
 2     {
 3         string text = "select *from car"; //最终TSQL语句
 4         string endtext = ""; //组合查询末尾部分
 5         int num = 0; //记录当前是第几条查询，为了区别前缀是Where还是and
 6         bool ok = false; //判断是否有填写查询
 7         Hashtable hs = new Hashtable(); //哈希表集合，为了对应Parameters的代位符数据
 8
 9         if (!String.IsNullOrEmpty(txt_ID.Text))//如果文本框的值不为空
10         {
11             endtext += "ids like @id"; //在语句末尾阶段拼接上相应的字符串
12
13             //这里注意！模糊查询的通配符需要在集合中拼接添加，不可以直接拼接在语句字符串中！！！
14             hs.Add("@id", "%" + txt_ID.Text + "%");
15
16             ok = true;
17             num++;
18         }
19         if (!string.IsNullOrEmpty(txt_Code.Text))
20         {
21             ok = true;
22             num++;
23             if (num > 1) //判断是否是第一次拼接查询条件，如果不是第一次，则前缀需要拼接and
24             {
25                 endtext += " and code like @code";
26             }
27             else
28             {
29                 endtext += "code like @code";
30             }
31             hs.Add("@code", "%" + txt_Code.Text + "%");
32         }
33
34         if (!string.IsNullOrEmpty(txt_Name.Text))
35         {
36             ok = true;
37             num++;
38             if (num > 1)
39             {
40                 endtext += " and name like @name";
41             }
42             else
43             {
44                 endtext += "name like @name";
45             }
46             hs.Add("@name", "%" + txt_Name.Text + "%");
47         }
48
49         if (ok)
50         {
51             text = text + " where " + endtext;//这里判断是否有查询条件，如果有就拼接好where
52         }
53
54         Label1.Text = text; //+ hs["@name"]; 显示查询语句以便于查看拼接结果
55         list = new CarData().Select(text, hs); //调用查询方法
56         Repeater1.DataSource = list; //数据指向
57         Repeater1.DataBind(); //数据绑定
58     }

数据访问类中哈希表集合数据导入Parameters集合的方法：

 1 public List<Car> Select(string text,Hashtable hs)
 2     {
 3         List<Car> list = new List<Car>();
 4         cmd.CommandText = text;
 5         cmd.Parameters.Clear();
 6         foreach (string s in hs.Keys) //遍历Keys
 7         {
 8             cmd.Parameters.Add(s,hs[s].ToString()); //将Keys和Values都添加进集合
 9         }
10
11         conn.Open();
12         SqlDataReader dr = cmd.ExecuteReader();
13         if (dr.HasRows)
14         {
15             while (dr.Read())
16             {
17                 Car c = new Car();
18                 c.Ids = Convert.ToInt32(dr["ids"]);
19                 c.Code = dr["code"].ToString();
20                 c.Name = dr["name"].ToString();
21                 c.Brand = dr["brand"].ToString();
22                 c.Time = Convert.ToDateTime(dr["time"]);
23                 c.Oil = Convert.ToDecimal(dr["oil"]);
24                 c.Powers = Convert.ToInt32(dr["powers"]);
25                 c.Exhaust = Convert.ToInt32(dr["exhaust"]);
26                 c.Price = Convert.ToDecimal(dr["price"]);
27
28                 list.Add(c);
29             }
30         }
31
32         conn.Close();
33         return list;
34     }

注意！！！

在TSQL语句拼接时，通配符需要加在Hashtable集合中，不可以直接拼接在字符串中，虽然不报错，但是无结果！！！