C#中如何通过for循环获取HiddenField值并批量写入SQL数据库

你现有代码有几处会导致运行报错/安全隐患的问题，按下面的方式改就能正常跑：

现有代码的问题点 #

• 类型不匹配：FindControl返回的是基础Control类型，没有Value属性，直接访问会报编译错误，需要强转成HiddenField类型
• 空引用风险：控件不存在时直接取属性会抛异常，必须加判空
• SQL注入漏洞：直接拼接HiddenField的值到SQL语句，只要控件值包含单引号就会报错，还存在被注入恶意SQL的风险，必须用参数化查询
• 循环边界错误：i < 1000只会遍历到编号999的控件，漏了第1000个
• 查找范围问题：默认的FindControl只会查找当前容器的直接子控件，如果HiddenField放在母版页Content、Panel、GridView这类嵌套容器里会找不到，需要递归查找
• 资源泄漏：创建的SqlCommand没有手动释放，高并发下会耗尽数据库连接资源

可直接运行的代码 #

首先加一个递归查找控件的辅助方法，解决嵌套容器找不到控件的问题：

private Control FindControlDeep(Control root, string controlId)
{
    if (root.ID == controlId) return root;
    foreach (Control c in root.Controls)
    {
        Control target = FindControlDeep(c, controlId);
        if (target != null) return target;
    }
    return null;
}

核心遍历入库逻辑：

// 确保数据库连接处于打开状态
if (Connection.State != System.Data.ConnectionState.Open)
{
    Connection.Open();
}

for (int i = 1; i <= 1000; i++)
{
    // 查找并转换控件类型
    HiddenField hf = FindControlDeep(this, "HiddenField" + i) as HiddenField;
    if (hf == null) continue; // 控件不存在直接跳过，不中断后续循环

    // 参数化SQL，完全避免注入和特殊字符报错问题
    string insertSql = $"INSERT INTO [{table_name2}] (CT1) VALUES (@ct1Value)";
    // using语法会自动释放命令对象资源，不需要手动Dispose
    using (SqlCommand cmd = new SqlCommand(insertSql, Connection))
    {
        // 参数赋值，数据库类型和你表中CT1字段保持一致即可，这里按常用的字符串类型示例
        cmd.Parameters.Add("@ct1Value", System.Data.SqlDbType.NVarChar, -1).Value = hf.Value;
        cmd.ExecuteNonQuery();
    }
}

可选性能优化 #

如果追求更高的插入效率，不要循环逐行插入，可以先把1000个值全部读到内存的DataTable中，再用SqlBulkCopy一次性批量写入数据库，插入速度会比逐行INSERT快10~100倍。
另外注意：如果table_name2不是你代码里写死的固定值，而是外部传入的变量，一定要做表名白名单校验，因为参数化不能处理表名位置的变量，存在注入风险。

内容的提问来源于stack exchange，提问作者Computer knowledge