本文详解在 asp.net web forms 中，如何将前端点击的电影链接 id 作为查询参数传递给后端页面，并安全执行数据库查询以加载对应电影详情，涵盖 html 构建、url 参数传递、服务端接收与防 sql 注入关键实践。
本文详解在 asp.net web forms 中，如何将前端点击的电影链接 id 作为查询参数传递给后端页面，并安全执行数据库查询以加载对应电影详情，涵盖 html 构建、url 参数传递、服务端接收与防 sql 注入关键实践。
在构建电影列表页（如 movie.aspx）时，核心目标是：用户点击某部电影卡片后，跳转至详情页（如 moviePage.aspx），并让该页面准确获知“被点击的是哪一部电影”。实现这一目标的关键不在于捕获 JavaScript 的 click 事件，而在于将唯一标识（如 MOVIEID）预先嵌入导航链接中，并通过 URL 查询字符串可靠、安全地传递至后端。
✅ 正确构建带 ID 的导航链接
原始代码中， 标签仅设置了 id 属性（如 id="123"），但该属性仅在前端 DOM 中存在，不会随 HTTP 请求发送至服务器。必须将其显式附加到 href 的查询参数中：
// 在 Page_Load 中生成电影列表时，修改 href 构造方式：
movieLister += $"<a href='moviePage.aspx?id={table.Rows[i]["MOVIEID"]}'>" +
$"<div class='movie-container'>" +
$"@@##@@" +
$"<div>@@##@@ {table.Rows[i]["rating"]}</div>" +
$"<p>{table.Rows[i]["movieName"]}</p>" +
"</div></a>";? 注意：已移除冗余/错位的 标签，确保 HTML 结构语义清晰、嵌套合法，避免浏览器解析异常。
此时，生成的 HTML 类似：
<a href='moviePage.aspx?id=42'>
<div class='movie-container'>
@@##@@
<div>@@##@@ 8.7</div>
<p>Avatar</p>
</div>
</a>用户点击后，浏览器将请求 moviePage.aspx?id=42，id=42 将作为标准 HTTP GET 参数送达服务端。
✅ 后端安全接收并使用 ID 查询数据
在 moviePage.aspx.cs 的 Page_Load 方法中，通过 Request.QueryString 获取 ID，并务必进行类型转换与参数化查询，杜绝 SQL 注入风险：
protected void Page_Load(object sender, EventArgs e)
{
// 1️⃣ 安全获取并验证 ID 参数
string idParam = Request.QueryString["id"];
if (!int.TryParse(idParam, out int movieId) || movieId <= 0)
{
Response.StatusCode = 400;
Response.Write("Invalid or missing movie ID.");
return;
}
// 2️⃣ 使用参数化 SQL 查询（强烈推荐）
string fName = "contentDB.mdf";
string tableName = "moviesTbl";
string sqlSelect = $"SELECT * FROM {tableName} WHERE MOVIEID = @movieId";
// 假设 Helper.ExecuteDataTable 支持 SqlParameter（若不支持，请升级为 SqlCommand + Parameters）
var parameters = new Dictionary<string, object>
{
{ "@movieId", movieId }
};
DataTable movieData = Helper.ExecuteDataTable(fName, sqlSelect, parameters);
if (movieData.Rows.Count == 0)
{
Response.StatusCode = 404;
Response.Write("Movie not found.");
return;
}
// 3️⃣ 渲染电影详情（示例：绑定到 Label 或 Literal 控件）
lblTitle.Text = movieData.Rows[0]["movieName"].ToString();
imgPoster.ImageUrl = movieData.Rows[0]["movieImageFile"].ToString();
lblRating.Text = movieData.Rows[0]["rating"].ToString();
}⚠️ 关键注意事项与最佳实践
- 绝不拼接用户输入进 SQL：原始答案中 where id = {id} 是严重安全隐患。必须使用参数化查询（@movieId）或强类型转换（int.Parse/TryParse）+ 预编译语句。
- 验证输入有效性：始终检查 QueryString["id"] 是否存在、是否为有效整数、是否在业务合理范围内（如 > 0）。
- 区分页面职责：movie.aspx 负责生成带 ID 的链接；moviePage.aspx 负责接收 ID、查询、渲染详情——逻辑分离更清晰、可维护性更高。
- HTML 结构严谨性：确保
