动手篇：简单的注册界面与防SQL注入（续）

注册前先判断用户名是否已经存在，通过if (SqlHelper.Exists(strSql))查询判断是否已经存在。没存在则进行一个数据插入数据库操作

string strSql1 = string.Format("insert into login values('{0}','{1}','{2}','{3}','{4}')", pwd, username, qq, email, tel);

if (SqlHelper.ExecteNonQueryText(strSql1, para1) > 0)

{

　　return "注册成功";

}

else

{

　　return "注册失败";

}

防注入写法

引入：using System.Data;using System.Data.SqlClient;

登陆部分：

 tring strSql = "select * from Login where username=@username and pwd=@pwd";

 SqlParameter[] para = new SqlParameter[]

 {

 　　new SqlParameter("@username",SqlDbType.NVarChar),

 　　new SqlParameter("@pwd",SqlDbType.NVarChar)

 };

 para[].Value = username;

 para[].Value = pwd;

 if (SqlHelper.Exists(strSql))

 {

 　　return "登录成功";

 }

 else

 {

 　　return "登录帐号密码不匹配";

 }

注册部分：

                string strSql1 = "insert into login values(@pwd,@username,@qq,@email,@tel)";

                SqlParameter[] para1 = new SqlParameter[]

                {

                    new SqlParameter("@pwd",SqlDbType.NVarChar),

                    new SqlParameter("@username",SqlDbType.NVarChar) ,

                    new SqlParameter("@qq",SqlDbType.NVarChar),

                    new SqlParameter("@email",SqlDbType.NVarChar) ,

                    new SqlParameter("@tel",SqlDbType.NVarChar)

                };

                para1[].Value = pwd;

                para1[].Value = username;

                para1[].Value = qq;

                para1[].Value = email;

                para1[].Value = tel;

                if (SqlHelper.ExecteNonQueryText(strSql1, para1) > )

                {

                    return "注册成功";

                }

                else

                {

                    return "注册失败";

                }

巴特西

动手篇：简单的注册界面与防SQL注入（续）

最新文章

热门文章