ADO.NET操作数据库(二)

类型初始值设定项引发异常：配置文件里找不到对应的连接字符串设置

App.config配置文件：

案例：统计在不使用ado.net连接池的情况下，连接SQL Server所需要的时间。

        private static void calcConnTime()
        {
            string connStr = @"data source=172.16.20.1\dev;initial catalog=MyFirstData;User ID=****;PASSWORD=****;pooling=false";
            //事件监视器,Stopwatch
            Stopwatch watch =  new Stopwatch();
            watch.Start();
            using (SqlConnection  conn=new SqlConnection(connStr))
            {
                conn.Open();
                conn.Close();
            }
            watch.Stop();
            Console.WriteLine(watch.Elapsed);
            Console.ReadKey();
        }

五：可变参数params
params修饰符：修饰数组类型即可
一般来说，参数个数都是固定的，定义为数组类型的参数可以实现可变数目参数的目的，但是.NET提供了更灵活的机制来实现可变数目参数，这就是使用params修饰符。
可变数目参数的好处就是在某些情况下可以方便地对参数个数不确定情况的实现，例如计算任意数字的加权和，链接任意字符串为一个字符串等。

六：异常捕获：
在catch(Exception e)代码块中进行异常捕获
1)如果用不到异常对象e,catch后面的小括号不用写。
2)如果一个方法有返回值，那么在捕获异常的时候，必须写throw，把"当前异常"抛出当做返回值，把当前catch捕获的异常抛出。
3)如果是throw new Exception("抛出了自己的异常"); 抛出自定义异常，和catch捕获的异常没有关系。
4)Exception类的使用

七:SQL语句注入漏洞攻击
登录判断：select * from User where UserName='{0}' and UserPassword='{1}';
将参数拼接到sql语句中；恶意构造的Password：hello' or 1=1-- （其中有一个单引号）

if(reader.Read()){
Console.WriteLine("登录成功")
}else{
Console.WriteLine("登录失败")
}

两种解决方法：防止注入攻击的方法:不使用SQL语句进行拼接，通过参数进行赋值(使用带参数的sql语句)或者使用存储过程。
sql语句注入攻击的原理：abcde' or 1=1--
sql语句变成了：select * from User where LoginID='abcde' or 1=1 --and password=****;
(1)后面的判断密码逻辑被-- 注释掉了，(2)而判断用户名的代码 or永远为真，所以登录成功。

八:带参数的SQL语句
1)sql语句中会出现参数
2)如果sql语句中有参数，那么必须在SqlCommand对象中提供对应的参数和值。
创建两个参数对象
3)带参数的sql语句内部调用了存储过程。

常用的类是：SqlCommand类中的Parameter属性，AddRange()方法，comm.Parameters.AddRange(pms);

代码如下：

        private static void safetyLogin()
        {
            string connStr = @"data source=;initial catalog=MyFirstData;User ID=;PASSWORD=;
            using (SqlConnection conn = new SqlConnection(connStr))
            {
                //把变量作为sql语句的参数,在sql语句中变量名必须以@符号开头。
                //带参数的sql语句背部调用了存储过程。
                string sql = "select count(*) from Teacher where TeaName=@name and TeaAge=@age";
                using (SqlCommand comm = new SqlCommand(sql, conn))
                {
                    //第一个参数为sql语句的参数；第二个参数为对应的数据类型(枚举类型)；第三个为数据类型的长度
                    SqlParameter paramsName = new SqlParameter("@name", System.Data.SqlDbType.VarChar, 20)
                    {
                        //对象初始化器
                        Value = "陈诗音"
                    };

                    SqlParameter paramsAge = new SqlParameter("@age", System.Data.SqlDbType.Int)
                    {
                        //对象初始化器
                        Value = 28
                    };

                    //1)创建两个参数对象
                    //2)把参数对象添加到SqlCommand里面
                    comm.Parameters.Add(paramsName);
                    comm.Parameters.Add(paramsAge);

                    //-------------------------简化版的写法(工作中最常用的写法)------------------------------
                    //创建一个参数对象数组
                    SqlParameter[] param = new SqlParameter[] {
                        new SqlParameter("@name", System.Data.SqlDbType.VarChar, 20) { Value = "陈诗音"},
                        new SqlParameter("@age", System.Data.SqlDbType.Int){ Value = 28}
                    };
                    //参数对象数组添加到SqlCommand里面
                    comm.Parameters.AddRange(param);

                    //-------------------------简化版的写法------------------------------
                    comm.Parameters.AddWithValue("@name", "陈诗音");
                    comm.Parameters.AddWithValue("@age", 28);
                    conn.Open();
                    int row = (int)comm.ExecuteScalar();
                    if (row > 0)
                    {
                        Console.WriteLine("登录成功！");
                    }
                    else
                    {
                        Console.WriteLine("登录失败！");
                    }
                }

            }
        }