### 在WinForms中使用SQL语句正确引用变量 在WinForms应用程序中，使用SQL语句时正确引用变量是非常重要的，这不仅有助于防止SQL注入攻击，还能提高代码的可读性和安全性。以下是实现这一功能的具体方法[^1]。 #### 使用参数化查询 参数化查询是推荐的方法，可以有效避免SQL注入问题。以下是一个完整的示例，展示如何在WinForms中通过参数化查询引用变量。 ```csharp using System; using System.Data.SqlClient; using System.Windows.Forms; namespace WinForms_SQL_Example { public partial class Form1 : Form { public Form1() { InitializeComponent(); } private void btnQuery_Click(object sender, EventArgs e) { string connectionString = "server=localhost;userid=dbuser;password=s$cret;database=testdb"; string query = "SELECT Name FROM Employees WHERE Id = @EmployeeId"; using (SqlConnection connection = new SqlConnection(connectionString)) { SqlCommand command = new SqlCommand(query, connection); command.Parameters.AddWithValue("@EmployeeId", int.Parse(txtEmployeeId.Text)); // 引用变量 try { connection.Open(); SqlDataReader reader = command.ExecuteReader(); while (reader.Read()) { lblResult.Text = reader["Name"].ToString(); // 显示结果 } reader.Close(); } catch (Exception ex) { MessageBox.Show("Error: " + ex.Message); } } } } } ``` #### 说明 - **参数化查询**：通过`command.Parameters.AddWithValue`方法将用户输入作为参数传递给SQL语句，而不是直接拼接字符串[^4]。 - **安全性**：这种方法可以有效防止SQL注入攻击，因为参数值会被正确转义[^1]。 - **资源管理**：使用`using`语句确保数据库连接和命令对象在使用后被正确释放[^4]。 ### 注意事项 - 确保在WinForms界面中添加必要的控件（如`TextBox`、`Button`和`Label`），以便用户输入数据并显示结果。 - 数据库连接字符串应根据实际环境进行配置，并考虑将其存储在安全的位置，例如配置文件或环境变量中[^4]。 ---