Sql语句用string.Format格式化

string strSql = string.Format(@"Select * from tb1 where UserName={0}", username);
不能防止Sql注入,但是比拼接字符串节约内存,简洁直观

posted @ 2013-10-23 23:07  dennys  阅读(1026)  评论(0)    收藏  举报