Tengo experiencia programando en Java y he tomado como proyecto personal aprender lenguajes .NET (VB.NET y C#).
En JAVA se utiliza lo siguiente para crear consultas preparadas MySQL y así evitar el SQL injection:
public void consultaPreparada() throws SQLException{
conexion();
String query="SELECT * FROM staff where first_name=(?) and password=md5(?)";
ps=conn.prepareStatement(query);
ps.setString(1, "Mike");
ps.setString(2, "contrasena");
rs=ps.executeQuery();
if(rs.next()){
System.out.println(rs.getString(2)+" "+rs.getString(3));
}
cerrar();
}
Quisiera saber como hacer las consultas preparadas pero en VB.NET y SQL Server. Hasta ahorita solo las se hacer así:
Public Sub agregar(ByVal CURP As String, ByVal nombre As String, ByVal apep As String,
ByVal apem As String, ByVal sexo As String, ByVal ocupacion As String)
'Se abre la conexion'
conectarBD()
'Se genera el String de la Consulta
Dim consulta As String = "INSERT INTO persona VALUES('" + CURP + "','" + nombre + "','" + apep + "','" + apem + "','" +
sexo + "','" + ocupacion + "')"
'Agregamos la sentencia SQL y la conexion
cmd = New SqlCommand(consulta, conn)
'Establecemos una variable auxiliar para determinar si la consulta se ejecuta bien o no
Dim i As Integer = cmd.ExecuteNonQuery()
'compara si la consulta fue hecha bien si esta es mayor que 1
If i > 0 Then
'Si la consulta es correcta manda este mensaje
MessageBox.Show("Persona Agregada con exito")
Else
'si la consulta es incorrecta manda el siguiente mensaje
MessageBox.Show("Error al Agregar")
End If
'se Cierra la conexion
cerrarConexion()
End Sub