comm.parameters.add方法

尽管普通的sql语句代码可以实现数据插入的操作，但是更好的代码应该是参数的方式：

 

string a = TextBox1.Text;//不必担心注入脚本攻击
string b =  TextBox2.Text;

 System.Data.SqlClient.SqlConnection cnn = new System.Data.SqlClient.SqlConnection("连接字符串");
 System.Data.SqlClient.SqlCommand cm = new System.Data.SqlClient.SqlCommand();
 cm.Connection = cnn;
 cm.CommandText = "insert into table1 (field1,field2) values(@field1,@field2)";
            
 cm.Parameters.Add("@field1",SqlDbType.VarChar);
cm.Parameters["@field1"].Value = a;



cm.Parameters.Add("@field2",SqlDbType.VarChar);
cm.Parameters["@field2"].Value = b;


cnn.Open();
cm.ExecuteNonQuery();
cnn.Close();