如何使用sql参数进行选择查询？

Question

我需要根据与一组记录的'like'匹配来获取记录,

以下查询即时使用无效.有谁知道查询有什么问题？

 sqlCommand.CommandText =String.Format("SELECT * FROM Customer" +
                " WHERE (Name like @Name)","'%" +searchString.Trim()+"%'");
            sqlCommand.Parameters.AddWithValue("Name", searchString);

此查询不提取所需的记录.

运行上面的代码片段时出现以下错误:

Must declare the scalar variable "@Name".

Answer 1

这样会发生什么？

sqlCommand.CommandText = "SELECT * FROM Customer WHERE Name LIKE @Name;";
sqlCommand.Parameters.AddWithValue("@Name", "%" + searchString + "%");

您还可以按如下方式对其进行编码,以避免首先出现所有通配符格式:

sqlCommand.CommandText = "SELECT * FROM Customer WHERE CHARINDEX(@Name, Name) > 0;";
sqlCommand.Parameters.AddWithValue("@Name", searchString);

如果你打算以不安全的方式坚持这样做,至少可以将任何一个单引号加倍searchString,例如

searchString.Replace("'", "''")