小弟想用Access使用参数化查询，搞了好久都搞不出来，希望各位高手帮帮我，初入开发，什么都不会。

Question

///这是DBHelper里面的两个方法
public static OleDbCommand CreateCommand(string sqlStr, OleDbParameter[] parame)
{
Open();
OleDbCommand cmd = new OleDbCommand();
cmd.CommandType = CommandType.Text;
cmd.CommandText = sqlStr;
cmd.Connection = con;
if (parame != null)
{
foreach (OleDbParameter pare in parame)
{
cmd.Parameters.Add(pare);
}
}
return cmd;
}

public static OleDbDataReader GetReader(string sqlStr)
{
OleDbCommand cmd = CreateCommand(sqlStr);
OleDbDataReader reader = cmd.ExecuteReader(CommandBehavior.CloseConnection);
return reader;

}

//我在dal中写了个查询语句，想用参数化语句，就写了这么点不知道该怎么写了，求求高手帮忙。
public OleDbDataReader getIsUser(string name, string pwd)
{
string sql = select * from 用户表,公司表 where 账号=? and 密码=? “;

OleDbDataReader res = DBHelper.GetReader(sql);

return res;
}

Answer 1

public OleDbDataReader getIsUser(string name, string pwd)
{
string sql = select * from 用户表,公司表 where 账号=@账号 and 密码=@密码 “;
OleDbDataReader res = DBHelper.GetReader(sql,new sqlparemeter("账号",账号值),new sqlparemeter("密码",密码值));
return res;
}

追问

谢谢你的帮助，今天最头疼的问题解决了。还有个小小的问题想请教下：

我看网上说的 access 参数化查询是要用 ？的，而sql是用@的，为什么在这也能用@？

追答

这个还真不清楚。我平时用的是sql。
你为什么要用参数查询呢？

追问

防止sql注入，你懂得。

追答

access做的东西有多少人有兴趣来注入？本来这就是小型的桌面级的。

追问

给我们公司做企业宣传网站，后台管理选择了acess，因为存储的东西都很少，用sql的话感觉有点大材小用，不知在兄台看来是否合理？

追答

合理的呀。还有sqlite你也可以尝试的。sqlserver如果你能安装又何尝不可呢？