黑马程序员_学习日记48_616数据库开发及ADO.Net（带参数的Sql语句、数据库与文本文件导入导出、省市联动、资料管理器、DataSet (ado.net断开式数据访问)、SQLHelper）

一、带参数的Sql语句（避免注入攻击）

(一)
注入漏洞攻击

在用户名中输入：jk’ or 1=1 --
select count(*) from UserLogin where loginId=’jk’ or 1=1 --‘ and Loginpwd=’jk1324657’

(二)
带参数的Sql语句

--@uid不用单引号引起来

string sql = “select count(*) from UserLogin where LoginId=@uid and LoginPwd=@pwd”;

using(SqlCommand cmd = new SqlCommand(sql,con))

{

cmd.Parameters.AddWithValue(“@uid”,txtUid.Text.Trim()uidParameters.AddWithValue()nd()d and LoginPwd=@pwdId);

cmd.Parameters.AddWithValue(“@pwd”,txtPwd.Text uidParameters.AddWithValue()nd()d and LoginPwd=@pwdId);

}

在数据库中，两个’’表示一个’

二、数据库与文本文件导入导出

(一)
数据库导出到文件

//需要创建一个写入文件的文件流StreamWriter

using(StreamWriter sw = new StreamWriter(@”tblclass.txt”))

{

while(reader.Read())

{

object objClsId = reader.GetValue(0);

object objClsName = reader.GetValue(1);

object objClsDesc = reader.GetValue(2);

string line = string.Format(“{0},{1},{2}”, objClsId, objClsName, objClsDesc);

sw.WriteLine(line);

}

}

(二)
文件导入到数据库

防止参数重名：

1、
方法一：

while(!sr.EndOfStream)

{

string line = sr.ReadLine();

string[] columns=line.Split(‘,’);

SqlParameter p1 = new SqlParameter(“@clsName”,columns[1]);

SqlParameter p2 = new SqlParameter(“@clsDesc”,columns[2]);

cmd.Parameter.Add(p1);

cmd.Parameter.Add(p2);

cmd.ExecuteNonQuery();

//每次用完参数，将参数集合清空。

cmd.Parameter.Clear();

}

2、
方法二：

SqlParameter p1 = new SqlParameter(“@clsName”,SqlDbType.VarChar);

SqlParameter p2 = new SqlParameter(“@ClsDesc”,SqlDbType.VarChar);

cmd.Parameter.Add(p1);

cmd.Parameter.Add(p2);

con.Open();

while(!sr.EndOfStream)

{

string line = sr.ReadLine();

string[] columns = line.Split(‘,’);

p1.Value = Columns[1];

p2.Value = Columns[2];

cmd.ExecuteNonquery();

}

(三)
省市联动案例

//获取配置文件中的连接字符串

string constr = ConfigurationManager.ConnectionString[0].ConnectionString;

//建议编写实体类的时候用属性，不用字段，因为很多控件不支持字段。

(四)
资料管理器（数据库版）

1、//窗体加载事件

Form_Load()

{

//加载文章类别到treeview

}

//实际开发应避免使用DataReader，用List集合

LoadCategoryToTree()

{

连接字符串

using(con)

{

sql = “select tid,tname from Category where tParentId = -1”;

…

categoryId = reader.GetInt32(0);

categoryName = reader.GetString(1);

//将当前类别加载到TreeView上

TreeNode tnode = treeview1.Add(categoryName);

tnode.Tag = categoryId;

//加载当前类（categoryId）下的所有子类

LoadSubCategory(categoryId,tnode)

}

}

//该方法创建一个新的连接，因为上一个方法的连接还没有关闭。

LoadSubCategory()

{

…

TreeNode subTNode = tnode.Nodes.Add(CategoryName);

}

//选中类别改变后的事件

treeView1_AfterSelect(object sender,TreeViewEventArgs e)

{

//e.Node表示当前选中的节点

if(e.Node.Level == 1)//选中2级节点

{

object categoryId = e.Node.Tag;

//根据类别Id（categoryId）加载文章到ListBox

LoadContentInfo(categoryId);

}

}

//在ListBox中加载文章标题

LoadContentInfo()

{

listBox1.Items.clear();

sql = “select did,dname from ContentInfo where dtid = @cateId”;

…

listBox1.Items.Add(wz);

}

//文章标题选择项改变事件

listBox1_SelectedIndexChanged()

{

if(listBox1.SelectedItem != null)

{

//根据文章Id，查询文章内容

GetArticleContentById();

}

}

GetArticleContentById()

{

string sql = “select dcontent from ContectInfo where dId=@id”;

cmd.Parameters.AddWithValue()

object objContent = cmd.ExecuteScalar();

return objContent.ToString();

}

2、
写配置文件（连接字符串）

<configuration>

<connectionStrings>

<add name=”sql” connectionString=”Data Source=.\SQLEXPRESS”/>

</connectionStrings>

</configuration>

3、
建立WenZhang类

三、DataSet (ado.net断开式数据访问)

DataSet是什么？临时数据集…

（一）
自己写DataSet

//1、创建一个临时数据库

DataSet ds = new DataSet(“School”);

//2、创建临时表

DataTable dt = new DataTable(“Student”);

//2.1为dt加列

DataColumn dcAutoId = new DataColumn(“autoId”);

dcAutoId.AutoIncrement = true;

dt.Columns.Add(“loginId”);

dt.Columns.Add(“loginId”,typeof(string));

dt.Columns[0].Uinque = true; //唯一性

for()

{

2．2为DataTable增加行

//创建DataRow不能new

DataRow dr = dt.NewRow();

dr[1] = “zxh”;

dr[2] = “zxh1234567”;

dt.Rows.Add(dr);

}

循环遍历输出DataSet

foreach(DataTable)

{

cw(dtItem.TableName);

foreach(DataRow)

{

for(循环列)

{

}

cwl();

}

}

//3、将DataTable加到DataSet中

ds.Tables.Add(dt);

（二）
自动填充DataSet

//SqlDataAdapter内部封装了SqlConnection、SqlCommand、SqlDataReader

SqlDataAdapter adapter = new SqlDataAdapter(sql,constr);

DataSet ds = new DataSet();

adapter.Fill(ds);

dataGridView1.DataSource = ds.Tables[0];

数据多了使用SqlDataAdapter分页

DataTable dt = new DataTable();

adapter.Fill(0,10,dt);

dataGridView1.DataSource =dt;

四、SQLHelper

封装一个SQLHelper方便使用

1、
建配置文件

2、

public static class SqlHelper

{

//获取配置文件中的连接字符串

private static readonly string constr =ConfigurationManager.ConnectionStrings[“sql”].ConnectionString;
//封装ExecuteNonQuery
public static int ExecuteNonQuery(string sql,params SqlParameter[] pms)
{
using(SqlConnection con = new SqlConnection(constr))
{
using(SqlCommand cmd = new SqlCommand(sql,con))
{
//如果pms为null，则直接调用cmd.Parameters.AddRange(pms)会报错
if(pms!=null)
{
cmd.Parameters.AddRange(pms);
}
con.Open();
return cmd.ExecuteNonquery();
}
}
}

//封装ExecuteScalar

//封装ExecuteReader
//注意
1、
Connection不能关闭
2、
DataReader不能关闭
3、
command对象执行ExecuteReader()的时候需要传递一个参数
public static SqlDataReader ExecuteReader(string sql,params SqlParameter[] pms)
{
SqlConnection con = new SqlConnection(constr);
using(SqlCommand cmd = new SqlCommand(sql,con))
{
if(pms!=null)
{
cmd.Parameters.AddRange(pms);
}
con.Open();
//当调用ExecuteReader()方法的时候，如果传递一个CommandBehavior.CloseConnecton参数，则表示将来当用户关闭reader的时候，系统会自动将Connection也关闭掉
SqlDataReader reader = cmd.ExecuteReader(CommandBehavior.CloseConnection);
return reader;
}
}

//封装一个返回DataTable的方法ExecuteDataTable()
}

以后在ADO.Net中检索数据库中的数据用：

App.comfig+SqlHelper+带参数的SQL语句

这里的参数的声明方法：

//这里不能用cmd.Parameter.Add()
SqlParameter[] pams =
new SqlParameter[]{
new
SqlParameter("@UserName",txtUserName),
new
SqlParameter("@Password",txtPassword)
};

连接池可以在连接字符串中打开关闭

作业：P65登录错三次禁止

P67 练习

资源管理器（数据库版）右键增加子类别，删除类别

将类别导出到记事本

将记事本文件导入到当前类别下

CSV电话本

我的作业：

怎么用List集合取代DataSet？

把treeview搞懂！

问题：什么是存储过程？