在SQL命令中調用ASP.NET參數（后面的代碼）

Question

如何在sql命令exp中調用asp參數：

cmd.CommandText = "SELECT name FROM server WHERE code="+TextBox1.Text;

這是正確的嗎？ 。

Answer 1

（嘗試並無法抑制顫抖）

 cmd.CommandText =  "SELECT name FROM server WHERE code=@code";
 cmd.Parameters.AddWithValue("code", TextBox1.Text);

否則，您就可以進行SQL注入了。

切勿將用戶輸入並入命令