Mysql 我的学校被困在1990年。我的老师还说他有义务教我们一些老技术和其他老东西。总而言之，他教给我们错误的东西。“我希望大学将是一个不同的东西……”吉列尔莫克鲁奇说，然后你的老师教错了你。谷歌的“sql注入”。有时可以使用字符串连接来组合查询的各个部分，但不能

---

我的学校被困在1990年。我的老师还说他有义务教我们一些老技术和其他老东西。总而言之，他教给我们错误的东西。“我希望大学将是一个不同的东西……”吉列尔莫克鲁奇说，然后你的老师教错了你。谷歌的“sql注入”。有时可以使用字符串连接来组合查询的各个部分，但不能组合用户提供的文本框字段。必须使用参数化来处理这些问题。任何人说不同的话都是在1996年。这一点太重要了，甚至不能用于学习/概念验证工作。如果您已经足够高级，可以从代码中学习运行SQL，那么您就已经足够高级，可以同时学习参数。您应该学习许多古老的东西。那很好。我们今天所做的大部分工作都是建立在80年代和90年代的技术基础上的，并且仍在幕后使用这些技术。但是SQL注入并不是你所要处理的事情。

Dim Query As String = "
    SELECT SUM(importe) as ImporteHaberes 
    FROM personal_haberes 
    WHERE persona_doc  = @doc AND mes = @mes AND año = @año;
    SELECT SUM(importe) as ImporteDescuentos 
    FROM personal_descuentos 
    WHERE persona_doc = @doc AND mes = @mes AND año = @año;
    SELECT  (SELECT SUM(importe) 
        FROM personal_haberes 
        WHERE persona_doc = @doc AND mes = @mes AND año = @año) -
            (SELECT SUM(importe) 
        FROM personal_descuentos 
        WHERE persona_doc = @doc AND mes = @mes AND año = @año) AS ImporteTotal"

Dim cmd As New MySqlCommand(Query, cnn)
cmd.Parameters.Add("@doc", MySqlDbType.VarChar).Value = Module1.document
cmd.Parameters.Add("@mes", MySqlDbType.Int32).Value = HR_DatePicker.Value.Month
' ???? This should be HR_DatePicker.Value.Year ???? '
cmd.Parameters.Add("@año", MySqlDbType.Int32).Value = HR_DatePicker.Value.Month
rdr = cmd.ExecuteReader

While rdr.Read()
    Me.HR_txtHaberes.Text = rdr.Item("ImporteHaberes").ToString
End While    
rdr.NextResult() 

While rdr.Read()
    Me.HR_txtDescuentos.Text = rdr.Item("ImporteDescuentos").ToString
End While
rdr.NextResult() 
While rdr.Read()
    Me.HR_txtTotal.Text = rdr.Item("ImporteTotal").ToString
End While

If rdr.Read() Then
    Me.HR_txtHaberes.Text = rdr.Item("ImporteHaberes").ToString
End If
rdr.NextResult() 
.....