※パラメータを用いることによりSQL Injection問題は発生しない。⇒StringクラスFormatメソッドなどにより変数を単純な文字結合によりくっつけSQL文をつくるとSQL Injection問題が発生する可能性がある
� �マーク付の変数をもちいる
例
insert 〜 values (@Id, @Name)
あらかじめOracleCommandオブジェクトにセットしておく
OracleCommand cmd = new OracleCommand(ＳＱＬ文string値);
��OracleParameterクラスをもちいる
例
OracleParameter p1 = new OracleParameter("@Id", 代入したいstring値);
cmd.Parameters.Add(p1);
OracleParameter p2 = new OracleParameter("@Name", 代入したいstring値);
cmd.Parameters.Add(p2);
もしくは
cmd.Parameters.Add("@Id", 代入したいstring値);
cmd.Parameters.Add("@Name", 代入したいstring値);
� �マーク付の変数をもちいる
例
insert 〜 values (@Id, @Name)
あらかじめOracleCommandオブジェクトにセットしておく
OracleCommand cmd = new OracleCommand(ＳＱＬ文string値);
��OracleParameterクラスをもちいる
例
OracleParameter p1 = new OracleParameter("@Id", 代入したいstring値);
cmd.Parameters.Add(p1);
OracleParameter p2 = new OracleParameter("@Name", 代入したいstring値);
cmd.Parameters.Add(p2);
もしくは
cmd.Parameters.Add("@Id", 代入したいstring値);
cmd.Parameters.Add("@Name", 代入したいstring値);
コメントをかく