在C#中經常需要跟各種資料庫打交道，在不實用儲存過程的情況下，使用引數化SQL語句一定程度上可以防止SQL注入，同時對一些較難賦值的欄位（如在SQL Server中Image欄位，在Oracle中Clob欄位等）使用引數化SQL語句很容易就能賦值，所以本人經常在ADO.NET中使用引數化SQL語句，近幾年來陸續跟SQL Server/Oracle/ MySQL/Access打交道，積累了一些心得，現在整理出來供大家參考。 createtable S_Admin (
   UserName             varchar(60)          notnull,
   Password             varchar(60)          notnull,
   Remark               varchar(50)          null,
   Mail                 varchar(120)         notnull,
   AddDate              datetimenulldefaultGETDATE(),
   LoginDate            datetimenulldefaultGETDATE(),
   LoginIP              varchar(50)          null,
   Active               smallintnulldefault1,
   LoginCount           intnulldefault1,
   Powerintnulldefault0,
   Departid             intnulldefault0,
   constraint PK_S_ADMIN primarykeynonclustered (UserId)
)
go 下面假設資料庫的主鍵都採用了資料庫的本地化技術解決了（例如在Access、SQL Server和MySQL中採用自增欄位，在Oracle中使用了sequence結合觸發器），假如在Oracle中向表中插入一記錄的程式碼如下：   using System;
using System.Data;
using System.Configuration;
using System.Web;
using System.Web.Security;
using System.Web.UI;
using System.Web.UI.WebControls;
using System.Web.UI.WebControls.WebParts;
using System.Web.UI.HtmlControls;
using System.Data.OracleClient;
publicclass OracleUtil
{
    public OracleUtil()
    {
        
    }

    publicbool InsertAdmin(string userName, string password, string remark, string mail, int departId, int power)
    {
        string sql ="insert into S_Admin(UserName,Password,Remark,Mail,DepartId,Power)values(:UserName,:Password,:Remark,:Mail,:DepartId,:Power)";
        OracleConnection connection =new OracleConnection();
        connection.ConnectionString ="";//此處設定連結字串        OracleCommand command =new OracleCommand(sql, connection);
        command.Parameters.Add(":UserName", OracleType.NVarChar, 60).Value = userName;
        command.Parameters.Add(":Password", OracleType.NVarChar, 60).Value =password;
        command.Parameters.Add(":Remark", OracleType.NVarChar, 60).Value = remark;
        command.Parameters.Add(":Mail", OracleType.NVarChar, 60).Value =mail;
        command.Parameters.Add(":DepartId", OracleType.Int32, 4).Value =departId;
        command.Parameters.Add(":Power", OracleType.Int32, 4).Value = power;
        connection.Open();
        int rowsAffected=command.ExecuteNonQuery();
        connection.Close();
        command.Dispose();
        return rowsAffected >0;
    }
} 在MySQL中增加同樣一條記錄的程式碼如下（需要到MySQL官方網站下載.net驅動程式）：   using System;
using System.Data;
using System.Configuration;
using System.Web;
using System.Web.Security;
using System.Web.UI;
using System.Web.UI.WebControls;
using System.Web.UI.WebControls.WebParts;
using System.Web.UI.HtmlControls;
using MySql.Data;
using MySql.Data.MySqlClient;

publicclass MySqlUtil
{
    public MySqlUtil()
    {
        
    }

    publicbool InsertAdmin(string userName, string password, string remark, string mail, int departId, int power)
    {
        string sql ="insert into S_Admin(UserName,Password,Remark,Mail,DepartId,Power)values(?UserName,?Password,?Remark,?Mail,?DepartId,?Power)";
        MySqlConnection connection =new MySqlConnection();
        connection.ConnectionString ="";//此處設定連結字串        MySqlCommand command =new MySqlCommand(sql, connection);
        command.Parameters.Add("?UserName", MySqlDbType.VarChar, 60).Value = userName;
        command.Parameters.Add("?Password", MySqlDbType.VarChar, 60).Value = password;
        command.Parameters.Add("?Remark", MySqlDbType.VarChar, 60).Value = remark;
        command.Parameters.Add("?Mail", MySqlDbType.VarChar, 60).Value = mail;
        command.Parameters.Add("?DepartId", MySqlDbType.Int32, 4).Value = departId;
        command.Parameters.Add("?Power", MySqlDbType.Int32, 4).Value = power;
        connection.Open();
        int rowsAffected = command.ExecuteNonQuery();
        connection.Close();
        command.Dispose();
        return rowsAffected >0;
    }
} 在SQL Server中增加同樣一條記錄的程式碼如下：   using System;
using System.Data;
using System.Data.SqlClient;
using System.Configuration;
using System.Web;
using System.Web.Security;
using System.Web.UI;
using System.Web.UI.WebControls;
using System.Web.UI.WebControls.WebParts;
using System.Web.UI.HtmlControls;
publicclass SqlUtil
{
    public SqlUtil()
    {
        
    }

    publicbool InsertAdmin(string userName, string password, string remark, string mail, int departId, int power)
    {
        string sql ="insert into S_Admin(UserName,Password,Remark,Mail,DepartId,Power)values(@UserName,@Password,@Remark,@Mail,@DepartId,@Power)";
        SqlConnection connection =new SqlConnection();
        connection.ConnectionString ="";//此處設定連結字串        SqlCommand command =new SqlCommand(sql, connection);
        command.Parameters.Add("@UserName",SqlDbType.NVarChar, 60).Value = userName;
        command.Parameters.Add("@Password", SqlDbType.NVarChar, 60).Value = password;
        command.Parameters.Add("@Remark", SqlDbType.NVarChar, 60).Value = remark;
        command.Parameters.Add("@Mail", SqlDbType.NVarChar, 60).Value = mail;
        command.Parameters.Add("@DepartId", SqlDbType.Int, 4).Value = departId;
        command.Parameters.Add("@Power", SqlDbType.Int, 4).Value = power;
        connection.Open();
        int rowsAffected = command.ExecuteNonQuery();
        connection.Close();
        command.Dispose();
        return rowsAffected >0;
    }
} 在Access中增加同樣一條記錄的程式碼如下：   using System;
using System.Data;
using System.Configuration;
using System.Web;
using System.Web.Security;
using System.Web.UI;
using System.Web.UI.WebControls;
using System.Web.UI.WebControls.WebParts;
using System.Web.UI.HtmlControls;
using System.Data.OleDb;
publicclass AccessUtil
{
    public AccessUtil()
    {
        
    }

    publicbool InsertAdmin(string userName, string password, string remark, string mail, int departId, int power)
    {
        string sql ="insert into S_Admin(UserName,Password,Remark,Mail,DepartId,Power)values(?,?,?,?,?,?)";
        OleDbConnection connection =new OleDbConnection();
        connection.ConnectionString ="";//此處設定連結字串        OleDbCommand command =new OleDbCommand(sql, connection);
        command.Parameters.Add("?", OleDbType.LongVarWChar, 60).Value = userName;
        command.Parameters.Add("?", OleDbType.LongVarWChar, 60).Value = password;
        command.Parameters.Add("?", OleDbType.LongVarWChar, 60).Value = remark;
        command.Parameters.Add("?", OleDbType.LongVarWChar, 60).Value = mail;
        command.Parameters.Add("?", OleDbType.Integer, 4).Value = departId;
        command.Parameters.Add("?", OleDbType.Integer, 4).Value = power;
        connection.Open();
        int rowsAffected = command.ExecuteNonQuery();
        connection.Close();
        command.Dispose();
        return rowsAffected >0;
    }
} 需要說明的是，除了Access之外，操作其它資料庫可以不必要按照引數在SQL語句中出現的順序新增進去一樣可以正確執行，但是在Access中一定按照插入的列的順序新增引數，因為“OLE DB.NET Framework 資料提供程式使用標有問號 (?) 的定位引數，而不使用命名引數（MSDN）”,所以給新增引數和賦值一定要按照列的順序。 通過上面的例子，基本上可以總結出一個規律：在引數化SQL中引數名的格式跟其在儲存過程中生命儲存過程引數一致，例如在Oracle中儲存過程引數一律以”:”開頭，在MS SQL Server中儲存過程引數一律以”@”開頭，而在MySQL中儲存過程（MySQL從5.0以後版本支援儲存過程）引數一律以“？”開頭，所以在引數化SQL語句中引數名有些不一樣（記得在csdn上有朋友提到過不知道為什麼MySQL中引數化SQL語句中要用“？”而不是和SQL Server一樣使用”@”），如果那位朋友看過本文，我想他就會解開這個疑慮了。