BÀI 6: TRUY XUẤT DỮ LIỆU VỚI ADO.NET

6.1. Giới thiệu lập trình cơ sở dữ liệu (ADO.NET)

• Khái niệm: ADO.NET là một bộ công nghệ (các lớp) trong .NET Framework, cung cấp khả năng tương tác (kết nối, truy vấn, cập nhật) với các nguồn dữ liệu, phổ biến nhất là các Hệ quản trị CSDL (như SQL Server, Access, Oracle…).

• Mô hình kết nối (Connected Model): Là mô hình làm việc chính của bài này.

  • Nguyên tắc: Mở kết nối -> Gửi lệnh -> Nhận kết quả -> Đóng kết nối.

  • Các đối tượng chính: Connection, Command, DataReader.

• Chuỗi kết nối (Connection String): Là một chuỗi văn bản chứa “chìa khóa” để kết nối đến CSDL, bao gồm: tên máy chủ (Server), tên CSDL (Database), thông tin xác thực (Username/Password hoặc Tích hợp Windows).

  • Ví dụ (SQL Server với xác thực Windows): "Server=MAYTINH\\SQLEXPRESS; Database=QuanLySinhVien; Integrated Security=True;"

  • Ví dụ (SQL Server với xác thực SQL): "Server=.; Database=QuanLySinhVien; User Id=sa; Password=123;"

6.2. Đối tượng SQLConnection (Kết nối)

• (Chúng ta tập trung vào SqlClient cho SQL Server, OleDb dùng cho các CSDL khác như Access).

• Không gian tên: System.Data.SqlClient

• Công dụng: Đại diện cho một phiên kết nối duy nhất đến CSDL SQL Server.

• Phương thức chính:

  • Open(): Mở kết nối.

  • Close(): Đóng kết nối (Rất quan trọng).

• Cú pháp:

  C#

  using System.Data.SqlClient;
  // ...
  string chuoiKetNoi = "..."; // Chuỗi kết nối của bạn
  SqlConnection conn = new SqlConnection(chuoiKetNoi);
  
  try
  {
      conn.Open();
      // ... Làm việc với CSDL ở đây ...
      MessageBox.Show("Kết nối thành công!");
  }
  catch (Exception ex)
  {
      MessageBox.Show("Lỗi kết nối: " + ex.Message);
  }
  finally
  {
      // Đảm bảo kết nối luôn được đóng
      if (conn.State == System.Data.ConnectionState.Open)
      {
          conn.Close();
      }
  }
  

6.3. Đối tượng SQLCommand (Lệnh)

• Công dụng: Đại diện cho một câu lệnh SQL (SELECT, INSERT, UPDATE, DELETE) hoặc một Stored Procedure cần thực thi tại CSDL.

• Thuộc tính chính:

  • Connection: Chỉ định kết nối SqlConnection mà lệnh này sẽ dùng.

  • CommandText: Nội dung câu lệnh SQL (ví dụ: "SELECT * FROM SinhVien").

• Các phương thức thực thi (Execute):

  1. ExecuteNonQuery(): Dùng cho các lệnh không trả về dữ liệu (INSERT, UPDATE, DELETE). Nó trả về số dòng bị ảnh hưởng.

  2. ExecuteScalar(): Dùng khi câu lệnh chỉ trả về một giá trị duy nhất (ví dụ: SELECT COUNT(*) FROM SinhVien).

  3. ExecuteReader(): Dùng cho lệnh SELECT trả về nhiều dòng, nhiều cột. Nó trả về một đối tượng SqlDataReader.

6.4. Đối tượng SQLDataReader (Đọc dữ liệu)

• Công dụng: Cung cấp một cách đọc dữ liệu chỉ tiến (forward-only), hiệu suất cao từ kết quả của lệnh SELECT.

• Nguyên tắc: Đọc từng dòng (record) một.

• Phương thức chính:

  • Read(): Di chuyển đến dòng tiếp theo. Trả về true nếu còn dòng để đọc, false nếu đã hết.

• Cách lấy dữ liệu: Dùng ten_reader["TenCot"] hoặc ten_reader[chi_so_cot].

• Ví dụ (SELECT):

  C#

  // (Giả sử conn đã được mở)
  SqlCommand cmd = new SqlCommand("SELECT MaSV, HoTen FROM SinhVien", conn);
  
  SqlDataReader reader = cmd.ExecuteReader();
  
  // Dùng 'while' để đọc từng dòng
  while (reader.Read())
  {
      // Lấy dữ liệu từ dòng hiện tại
      string maSV = reader["MaSV"].ToString();
      string hoTen = reader["HoTen"].ToString();
  
      // (Hiển thị lên ListBox hoặc ComboBox...)
      listBox1.Items.Add(maSV + " - " + hoTen);
  }
  
  // Phải đóng Reader sau khi dùng xong
  reader.Close();
  // (Sau đó đóng conn)
  

6.5. Đối tượng SQLParameter (Tham số)

• Vấn đề (SQL Injection): Nếu bạn ghép chuỗi trực tiếp từ TextBox vào câu SQL, hacker có thể nhập code độc hại.

  • Code nguy hiểm: string sql = "SELECT * FROM Users WHERE User='" + txtUser.Text + "';"

  • Hacker nhập: ' OR 1=1 --

  • Câu lệnh trở thành: SELECT * FROM Users WHERE User='' OR 1=1 --'; (Luôn đúng, bypass login).

• Giải pháp (SqlParameter): Dùng tham số (dấu @) để truyền giá trị vào CSDL một cách an toàn. ADO.NET sẽ tự xử lý các ký tự đặc biệt.

• Ví dụ (INSERT an toàn):

  C#

   

  // (Giả sử conn đã mở, có txtMaSV và txtHoTen)
  string sql = "INSERT INTO SinhVien (MaSV, HoTen) VALUES (@Ma, @Ten)";
  SqlCommand cmd = new SqlCommand(sql, conn);
  
  // Thêm tham số
  cmd.Parameters.AddWithValue("@Ma", txtMaSV.Text);
  cmd.Parameters.AddWithValue("@Ten", txtHoTen.Text);
  
  // Thực thi (dùng ExecuteNonQuery)
  int soDongAnhHuong = cmd.ExecuteNonQuery();
  
  if (soDongAnhHuong > 0)
  {
      MessageBox.Show("Thêm thành công!");
  }
  // (Đóng conn)