C# sqlite 执行SQL语句添加参数 防止SQL注入

C#写sqlite操作类的执行sql语句时，需要带上多个参数，我们怎么把参数传给sql语句呢？当然不是拼接在sql字符串。

下面使用一段代码来做个简单的示例：

string connString = "Data Source=mytest.db";
            string sql =
@"CREATE TABLE IF NOT EXISTS user (id INTEGER PRIMARY KEY AUTOINCREMENT,code TEXT NOT NULL UNIQUE,name TEXT NOT NULL);

";
            string sql2 = "insert into user(code,name) values(@code,@name);";
 
            try
            {
                using (sqliteConnection conn = new sqliteConnection(connString))
                {
                    conn.Open();
                    sqliteCommand cmd = new sqliteCommand(sql,conn);
                    cmd.ExecuteNonQuery();
 
                    cmd.CommandText = sql2;
                     cmd.Parameters.Add(new SqliteParameter("@name", "测试代码"));
                   cmd.Parameters.Add(new SqliteParameter("@code", "001"));
                   cmd.ExecuteNonQuery();
                }
            }
            catch (Exception ex)
            {
                Console.WriteLine(ex.Message);
            }
 
            Console.WriteLine("End.");
            Console.Read();

更详细的操作细节可参看，右侧相关代码文章找到源码下载。
lebang2020.cn出品。