C++中的“查询参数”是什么?

我怀疑这通常是指参数化查询,而不是在字符串中构造查询,它们提供sql变量(或参数),然后分别传递这些变量。这些方法更适合处理SQL注入攻击。举例说明:

"SELECT * FROM Customers WHERE CustomerId = " + _customerId; 

这很糟糕,而这:

"SELECT * FROM Customers where CustomerId = @CustomerId" 

很好。问题是,你必须将参数添加到查询对象中(我不知道在C++中是如何做到的。

其他问题的参考:

• https://stackoverflow.com/questions/1973/what-is-the-best-way-to-avoid-sql-injection-attacks
• Stored Procedures vs Parameterized Queries

狂野网络:

• http://www.justsoftwaresolutions.co.uk/database/database-tip-use-parameterized-queries.html

参数化查询形式的Sql查询比字符串格式的Sql查询更安全,可以避免Sql注入攻击。 参数化查询示例

StringBuilder sqlstr = new StringBuilder();  
cmd.Parameters.AddWithValue("@companyid", CompanyID);  
sqlstr.Append("SELECT evtconfigurationId, companyid, 
  configname, configimage FROM SCEVT_CONFIGURATIONS ");
sqlstr.Append("WHERE companyid=@companyid ");

查询字符串格式示例

StringBuilder sqlstr = new StringBuilder();   
sqlstr.Append("SELECT evtconfigurationId, companyid, configname, 
   configimage FROM SCEVT_CONFIGURATIONS ");
sqlstr.Append("WHERE companyid" +  CompanyID);