如何在SQL查询中设置固定值？实现自动带入ID参数的方法

要实现动态将ID带入SQL查询，必须使用参数化查询——这不仅能灵活传入ID值，还能彻底避免SQL注入风险，同时优化原代码中重复查询的问题，提升性能。

优化后的完整代码 #

// 1. 定义要查询的目标ID（可从请求、Session、配置等动态获取）
int targetId = 333;

string constr = ConfigurationManager.ConnectionStrings["PTS_Metcom"].ToString();

// 使用using语句自动释放数据库资源，避免泄漏
using (SqlConnection cn = new SqlConnection(constr))
{
    // 2. 一次性查询所有需要的字段，减少数据库交互次数
    string sql = @"SELECT FIRMA_ADI, AYNI_ANDA_KAPASITE 
                   FROM ARAC_SAHIPLERI 
                   WHERE ID = @TargetId";

    using (SqlCommand cmd = new SqlCommand(sql, cn))
    {
        // 3. 添加参数，将动态ID带入查询
        // 类型安全写法，推荐使用
        cmd.Parameters.Add("@TargetId", SqlDbType.Int).Value = targetId;
        // 简化写法：cmd.Parameters.AddWithValue("@TargetId", targetId);

        cn.Open();
        using (SqlDataReader rdr = cmd.ExecuteReader())
        {
            if (rdr.Read())
            {
                // 读取所有需要的字段
                ViewBag.isim = rdr["FIRMA_ADI"];
                ViewBag.kota = rdr["AYNI_ANDA_KAPASITE"];
                // 若原代码中iceride、kalan对应其他字段，直接读取即可
                // ViewBag.iceride = rdr["对应字段名"];
                // ViewBag.kalan = rdr["对应字段名"];
            }
        }
    }
}

关键说明 #

• 参数化查询的必要性：直接拼接ID到SQL字符串会引发SQL注入漏洞，参数化查询会让数据库将参数视为纯数据，而非SQL指令的一部分，安全且灵活。
• 资源自动释放：using语句会在代码块结束后自动调用Dispose()，确保SqlConnection、SqlCommand、SqlDataReader这些资源被正确释放，避免内存泄漏。
• 减少查询次数：原代码中多次查询同一张表同一个ID，合并为一次查询能大幅降低数据库负载，提升程序响应速度。
• 动态ID来源：targetId可根据业务场景动态获取，比如从URL参数（Request.QueryString["id"]）、表单提交、Session或用户输入中获取，只需转换为int类型即可。

内容的提问来源于stack exchange，提问作者Kaan Tursucu