如何在sql语句中使用字符串变量

时间:2011-08-31 21:50:45

标签: c# sql-server-2008

我有一个WPF应用程序,我正在

string someone = TextBox.text;

我想在以下查询中使用它

query = " Select * From Table Where Title = someone "

我应该如何在查询中使用变量?

4 个答案:

答案 0 :(得分:20)

你可以这样做

query = "Select * From Table Where Title = " + someone;

但这很糟糕,可以打开SQL注入

您应该只使用参数化查询

这样的事情应该让你开始

using (var cn = new SqlClient.SqlConnection(yourConnectionString))
using (var cmd = new SqlClient.SqlCommand())
{
   cn.Open();
   cmd.Connection = cn;
   cmd.CommandType = CommandType.Text;
   cmd.CommandText = "Select * From Table Where Title = @Title";
   cmd.Parameters.Add("@Title", someone);
}

来自Jon Skeet的答案,因为他比我的更完整

有关详细信息,请参阅SqlCommand.Parameters的文档。

基本上,您不应出于各种原因将您的值嵌入SQL本身:

  • 混合代码和数据是不优雅的
  • 它打开了SQL注入 攻击,除非你非常小心逃脱
  • 你必须担心数字,日期和等方面的格式和i18n细节 时代等
  • 当查询保持相同且仅包含值时 改变,优化器的工作量较少 - 它可以查找 以前优化的查询,因为它将是一个完美的匹配 SQL的术语。

答案 1 :(得分:13)

您应该使用参数化SQL查询:

query = "SELECT * From TableName WHERE Title = @Title";

command.Parameters.Add("@Title", SqlDbType.VarChar).Value = someone;

有关详细信息,请参阅SqlCommand.Parameters的文档。

基本上,您不应出于各种原因将您的值嵌入SQL本身:

  • 混合代码和数据是不优雅的
  • 除非你非常小心逃避
  • ,否则它会打开SQL注入攻击
  • 你必须担心数字,日期和时间等格式和i18n细节。
  • 当查询保持不变且仅更改值时,优化器的工作量较少 - 它可以直接查找以前的优化查询,因为它在SQL方面是完美匹配。

答案 2 :(得分:2)

最简单的方法是使用C#Prepared sql。 Example on this post。您不必担心转义sql字符串中的字符或其他任何内容

答案 3 :(得分:1)

declare @SqlQuery varchar(2000), @Fromdate varchar(20), @Todate varchar(20)

set @Fromdate='01 jan 2017'
set @Todate='30 mar 2017'


set @SqlQuery='select * from tblEmployee where tblEmployee.JDate between '''+ @Fromdate + ''' and '''+ @Todate+ ''''

print  @SqlQuery