c# - 帮我修复这个 SQL 语句？

Question

谁能告诉我我的 SQL 语句有什么问题以及我该如何改进它？

da = new SqlDataAdapter("SELECT * FROM Guests"+" WHERE Students.name='" + 
   byNametextBox.Text + "'", MyConn);

Answer 1

如果您只需要其中一个表中的列，则 EXISTS 谓词比 JOIN 稍微高效一些。另外 - 永远不要像那样将字符串注入(inject) SQL 语句 - 你只是在乞求 SQL 注入(inject)攻击或相关的崩溃错误(是的，我知道它是一个 Forms 应用程序，但同样适用。如果你正在搜索一个像这样的名字“O'Leary”，你会崩溃的)。

SqlCommand cmd = new SqlCommand("SELECT * FROM Guests WHERE EXISTS (SELECT Id FROM Students WHERE Guests.StudentId = Students.Id And Students.name= @name)", MyConn);
cmd.Parameters.Add("@name", SqlDbType.VarChar, 50).Value = byNametextBox.Text;
SqlDataAdapter adapt = new SqlDataAdapter(cmd);

注意:有些人可能会争辩说“SELECT *”不好，您应该考虑指定单独的列名