c# - 如何在查询中传递字符串

Question

我必须在查询中传递一个字符串值...这是我的代码

 string a = ConfigurationManager.AppSettings["var"];
SqlDataAdapter da = new SqlDataAdapter("select codesnippet from edk_custombrsnippet_vw where partnerid = 'a'", con);
DataTable dt = new DataTable();
da.Fill(dt);

我得到了字符串 a 中的值..但我不知道如何在该查询中传递该字符串..有什么建议吗？

Answer 1

使用参数化查询，例如:

string a = ConfigurationManager.AppSettings["var"];
SqlDataAdapter da = new SqlDataAdapter(
  "select codesnippet from edk_custombrsnippet_vw where partnerid = @PartnerID",
  con);
da.SelectCommand.Parameters.AddWithValue("@PartnerId", a);
DataTable dt = new DataTable();
da.Fill(dt);

您应该不将字符串值嵌入到 SQL 本身中 - 这会使您容易受到 SQL 注入(inject)攻击。不可否认，在这种情况下，它不是用户提供的值，但最好不要直接包含它。

编辑:我从 this MSDN page 改编了这个例子但似乎 SqlDataAdapter据我所知，实际上没有 Parameters 属性。因此，我对其进行了调整，以使用 SqlDataAdapter.SelectCommand.Parameters，我希望可以正常工作...但您可能需要稍微调整一下。