为什么sqlparameter可以防止SQL注入式攻击

[Z_feichangdao]

为什么sqlparameter可以防止SQL注入式攻击
而字符拼加就不行呢

[pz25925]

http://www.cnblogs.com/PaulMa/archive/2010/11/09/1872464.html

一搜一大把的。 根本不需要问吧。

[SQL77]

简单的可以理解：拼接字符串的话是进行字符串加的过程，这样可能别人可以对输入的值进行一些特殊操作，

而参数话是当成一个值被传入而不是相加

[dalmeeme]

关于这个，一直未找到权威参考。谈谈个人理解，仅供参考：
拼sql字符串：通过SQL编译器分析sql字符串，得出参数和参数值，所以容易被欺骗；
参数化SQL：通过编译器分析sql字符串，得出参数，而参数值不由编译器得出，由用户直接指定，也就是这一步绕过编译器，所以不会被欺骗。

[十二恨]

[Quote=引用 1 楼 的回复:]
http://www.cnblogs.com/PaulMa/archive/2010/11/09/1872464.html

一搜一大把的。 根本不需要问吧。
[/Quote]1楼的对我很有用谢了