SqlDataReader读取前必须调用Read()，否则访问字段会抛异常；DBNull值需用Convert.ToString()或IsNull()处理；事务中所有SqlCommand须共享同一SqlConnection和SqlTransaction；validateRequest与数据操作安全无关。
SqlDataReader 读取前必须检查是否有数据
常见错误是直接调用 reader["FieldName"].ToString() 而不验证结果集是否为空，导致抛出“在没有任何数据时进行无效的读取尝试”异常。这是因为 SqlDataReader 初始化后指针位于第一行之前，必须先调用 Read() 才能移动到首行。
正确做法是：用 if (reader.Read()) 包裹字段访问逻辑；若需遍历多行，则改用 while (reader.Read())。
- 不要在
Read()外直接访问reader.FieldCount或字段值，否则触发“阅读器关闭时 FieldCount 的尝试无效”或空引用异常 - 若使用
CommandBehavior.CloseConnection，确保SqlDataReader在使用完毕后被显式Dispose()或用using块包裹，否则连接不会自动关闭 - 避免在方法中提前
conn.Close()—— 这会导致返回的reader立即失效
DataSet/DataTable 绑定前要处理 DBNull
从数据库读取的 NULL 值在 .NET 中表现为 DBNull.Value，不是 null。直接对 DataRow["Col"] 调用 ToString() 或转换为数值类型会抛出“数据为空。不能对空值调用此方法或属性”。
推荐写法是统一用 Convert.ToString()（它安全处理 DBNull），或显式判断：
string name = row["Name"] == DBNull.Value ? string.Empty : (string)row["Name"];
-
DataRow.IsNull("Col")比== DBNull.Value更语义清晰，且支持重载列名 - 绑定到
GridView等控件时，可在RowDataBound事件中统一做空值替换，避免每处都写防御逻辑 - 如果用 Entity Framework，这类问题基本消失，但原始 ADO.NET 场景下必须手动处理
事务中 SqlCommand 必须共享同一个 SqlConnection
ADO.NET 事务（SqlTransaction）严格绑定到单个 SqlConnection 实例。若在事务内新建连接执行命令，该命令**不参与事务**，回滚时不会被撤销 —— 表面成功，实则数据不一致。
典型错误模式：
using (var conn = new SqlConnection(connStr))
{
conn.Open();
using (var tx = conn.BeginTransaction())
{
// ✅ 正确：复用 conn
var cmd1 = new SqlCommand("UPDATE ...", conn, tx);
cmd1.ExecuteNonQuery();
// ❌ 错误：新连接，脱离事务上下文
using (var conn2 = new SqlConnection(connStr))
{
conn2.Open();
var cmd2 = new SqlCommand("INSERT ...", conn2); // 没传 tx！
cmd2.ExecuteNonQuery(); // 即使 tx.Rollback()，这行仍生效
}
}
}
- 所有参与事务的
SqlCommand构造时第三个参数必须传入同一SqlTransaction对象 - 连接字符串需完全一致（包括池设置），否则连接池可能返回不同物理连接
- 避免在事务块中调用依赖内部新建连接的封装方法（如某些 ORM 的 SaveChanges），除非明确支持事务传递
Web.config 中 validateRequest="false" 不是数据操作问题的解法
看到“检测到有潜在危险的 Request.Form 值”报错就关 validateRequest，这是典型归因错误。该设置仅控制 ASP.NET 对 HTML 标签等输入的自动拒绝，和数据库读写、参数绑定、SQL 执行**完全无关**。
真正影响数据操作安全的是参数化查询。绕过 validateRequest 只会让 XSS 风险暴露，却无法解决：
- SQL 注入（应始终用
SqlParameter） - 类型不匹配（如把字符串当
DateTime传入参数） - 超长字符串截断（需检查
SqlParameter.Size）
若业务确实需提交 HTML 内容，应在服务端做白名单过滤或使用富文本库（如 HtmlSanitizer），而不是全局关掉请求验证。
