第3章：数据访问层

本章任务

实现查询学生信息功能
实现添加学生成绩功能
实现修改学生信息功能

本章目标

掌握使用 using 释放对象
会使用 SqlParameter 给SQL传递参数
会使用 ADO.NET 调用存储过程

本章内容

使用using

使用Connection，如何保证连接关闭？

使用using 释放Connection对象

using的用法：

用法一：导入命名空间
用法二：释放对象占用的资源
- 如Connection、DataReader 、 FileStream……

使用using 释放SqlConnection

使用using 释放SqlDataReader

using 的本质

使用 SqlParameter

拼接SQL的方法

方式1：

方式2：

SQL注入：

拼接SQL语句的弊端：

弊端一：不美观，而且容易出现错误
弊端二：安全性差，容易被SQL注入攻击

提示：

参数化查询是能有效避免上述弊端的执行SQL 语句的方式

使用 @ 构造参数化SQL 命令：

SqlParameter 对象

和“@”修饰的参数一一对应，用来替换该参数.

SqlParameter 的属性:

属性	说明
DbType	对应数据库的数据类型
Direction	参数是只可输入、只可输出、双向或存储过程返回值参数
IsNullable	参数是否接受空值
ParameterName	参数的名称
Size	参数对应数据的最大大小
SqlDbType	SQL Server 数据库的数据类型
Value	参数的值

使用SqlCommand 执行参数化SQL 的步骤

构造数据库连接对象
构造参数化SQL 语句
构造 SqlParameter 对象
创建SqlCommand 对象，使用SqlParameter 对象填充数据
打开数据库连接，执行SqlCommand 命令

/// <summary>
/// 执行Sql语句将学生信息添加到学生表
/// </summary>
/// <param name="student">Student实体</param>
/// <returns>受影响行数</returns>
public int AddStudent(Student student)
{
    using (SqlConnection conn = new SqlConnection(connString))
    {

        //创建Sql语句
        StringBuilder sb = new StringBuilder();
        sb.AppendLine("INSERT [Student]");
        sb.AppendLine("VALUES");
        sb.AppendLine("     (@StudentNo,@LoginPwd,@StudentName,@Sex,@GradeId,@Phone,@Address,@BornDate,@Email,@IdentityCard)");

        SqlParameter[] para = new SqlParameter[] {
                    new SqlParameter("@StudentNo", student .StudentNo .ToString ()) ,
                    new SqlParameter("@LoginPwd", student .LoginPwd  .ToString ()) ,
                    new SqlParameter("@StudentName", student .StudentName  .ToString ()) ,
                    new SqlParameter("@Sex", student.Gender  .ToString ()) ,
                    new SqlParameter("@GradeId", student .GradeId  .ToString ()) ,
                    new SqlParameter("@Phone", student .Phone  .ToString ()) ,
                    new SqlParameter("@Address", student .Address  .ToString ()) ,
                    new SqlParameter("@BornDate", student .BornDate .ToString ()) ,
                    new SqlParameter("@Email", student .Email  .ToString ()) ,
                    new SqlParameter("@IdentityCard", student .IdentityCard .ToString ()) };

        SqlCommand cmd = new SqlCommand(sb.ToString(), conn);
        cmd.Parameters.AddRange(para);
        conn.Open();
        int iRet = Convert.ToInt32(cmd.ExecuteScalar());

        return iRet;

    }
}