c# - C# 中 SQL 的转义字符

Question

我想在我的 C# 代码中添加一个简单的选择语句。示例如下所示。 fname 中类似 y 的值来自参数。 //从 myTable 中选择 lname，其中 fname = 'y'

这就是我正在做的。我显然得到了 Sql Exception。我该如何纠正它？谢谢。

string strOrdersOrigSQL = "SELECT LastName FROM Employees";
// Concatenate the default SQL statement with the "Where" clause and add an OrderBy clause
       strOrdersSQL = strOrdersOrigSQL + "where FirstName ="+ 'strFname';

Answer 1

你永远不应该手动连接 sql 命令。使用类 SqlCommand并添加参数

using (var cmd = new SqlCommand("SELECT LastName FROM Employees where FirstName = @firstName", conn))
{
   cmd.Parameters.AddWithValue("@firstName", strFname);
   var reader = cmd.ExecuteReader();
}