SQLite INSERT语句

Question

我已经创建了以下插入方法，它工作得很好，但我知道它可能更有效。有人能告诉我如何将这种方法转换为使用参数和/或提高其效率？

public static void SQLiteTableINSERT(string tableName) 
{ 
    int colCount = 0; 
    using (SQLiteConnection Conn = new SQLiteConnection(SQLiteConn.Conn)) 
    { 
     using (SQLiteTransaction sqliteTrans = Conn.BeginTransaction()) 
     { 
      using (SQLiteCommand cmd = Conn.CreateCommand()) 
      { 
       DataTableColumnNames(); 

       string query = "INSERT INTO " + tableName + "("; 

       foreach (string name in DtColumns) 
       { 
        query += "[" + name + "]"; 
        ++colCount; 

        if (colCount < DtColumns.Count()) 
         query += ","; 
       } 

       query += ")"; 
       query += " VALUES("; 

       for (int i = 0; i < LocalDataSet.LocalDs.Tables[0].Rows.Count; ++i) 
       { 
        cmd.CommandText = query; 

        foreach (DataColumn col in LocalDataSet.LocalDs.Tables[0].Columns) 
        { 
         string temp = LocalDataSet.LocalDs.Tables[0].Rows[i][col, DataRowVersion.Current].ToString(); 

         if (temp == "True") 
          cmd.CommandText += 1; 

         else if (temp == "") 
          cmd.CommandText += 0; 

         if (temp != "True" && temp != "") 
          cmd.CommandText += "'" +temp + "'"; 

         cmd.CommandText += ","; 
        } 

        cmd.CommandText = cmd.CommandText.Remove(cmd.CommandText.LastIndexOf(",")); 

        cmd.CommandText += ")"; 

        cmd.ExecuteNonQuery(); 
       } 
      } 

      sqliteTrans.Commit(); 
     } 

    } 
} 

Answer 1

您确实应该将其切换为使用预准备语句，然后将数据绑定到该预准备语句中的参数。一些基本的内容在这里解释了C/C++：

http://www.sqlite.org/cintro.html

我怀疑你正在使用dotConnect所以你可能要参考本为您具体的例子：

http://www.devart.com/dotconnect/sqlite/docs/Parameters.html

同样的原理适用。您将SQL编写为一个易于在源代码中阅读，查看和修改的单个字符串常量。然后，将该SQL命令与一组数据元素一起发送到SQLite，以替换每个参数。此技术使您的代码更清晰，并有助于避免SQL注入攻击或混淆。