c# - 异常 : Incorrect syntax near the keyword 'AND'

Question

我正在使用 C# 和 SQL Server 2008 制作一个管理程序。我想一次使用血型、地区和俱乐部名称搜索记录。这就是造成问题的原因:

    SqlDataAdapter sda = new SqlDataAdapter("SELECT * FROM Table2 
    WHERE @Blood_Group =" + tsblood.Text + "AND @District =" + tsdist.Text + 
    "AND  Club_Name =" + tscname.Text, Mycon1);

谁能告诉我正确的语法是什么？提前 Tnx。 :)

Answer 1

正确的语法是使用参数化查询，并且在构建 SQL 查询时绝对不要使用字符串连接:

string query = "SELECT * FROM Table2 WHERE BloodGroup = @BloodGroup AND District = @District AND Club_Name = @ClubName";
using (SqlDataAdapter sda = new SqlDataAdapter(query, Mycon1))
{
    sda.SelectCommand.Parameters.AddWithValue("@BloodGroup", tsblood.Text);
    sda.SelectCommand.Parameters.AddWithValue("@District", tsdist.Text);
    sda.SelectCommand.Parameters.AddWithValue("@ClubName", tscname.Text);
    ...
}

这样您的参数将被正确编码并且您的代码不易受到 SQL 注入(inject)攻击。结帐bobby tables .

另请注意我如何将 IDisposable 资源(例如 SqlDataAdapter)包装到 using 语句中，以确保即使在出现异常时也能正确处理它，并且您的程序不会泄漏非托管句柄。