c＃中的数据库查询

Question

我只是遇到了访问用户提供的数据的问题 但如果我直接指定查询它运行良好

protected void Button1_Click(object sender, EventArgs e)
{
    try
    {
        string v = (enterId.Text);
        cn.Open();
        SqlCommand sda = new SqlCommand("SELECT name FROM professor WHERE branch=***"+ v +"***", cn);
        sda.CommandType = CommandType.Text;
        SqlDataReader dr = sda.ExecuteReader();
        while (dr.Read())
        {
            v = dr[0].ToString();
            selectName.Items.Add(v);
        }
        dr.Close();
    }
    catch (Exception ex)
    {
        MessageBox.Show(ex.Message);
    }
    finally
    {

        cn.Close();
    } 
}

Answer 1

你需要使用引号：

"SELECT name FROM professor WHERE branch='***"+ v +"***'"

但是，您必须使用参数而不是在查询中连接字符串。