sql - 如何在存储过程的t-sql动态语句中使用LIKE？

Question

我尝试将 LIKE 关键字与包裹参数的 % 通配符一起使用，但我不确定如何在不破坏语句的情况下将 % 字符放入语句中。现在我有:

SET @SQLQuery = 'SELECT * FROM [tblApps] WHERE [firstName] LIKE %@search%'

我在 .net 应用程序中收到 SqlException 错误，显示“运行时‘@search’附近的语法不正确。如果删除 @search 参数周围的 % 字符，该错误就会消失。

Answer 1

% 字符必须位于搜索字符串中...

SET @search = '%' + @search + '%'
SET @SQLQuery = 'SELECT * FROM [tblApps] WHERE [firstName] LIKE @search'

请注意，以下方法也可以工作，但会引入潜在的 SQL 注入(inject)漏洞...

-- DON'T do this!
SET @SQLQuery = 'SELECT * FROM [tblApps] WHERE [firstName] LIKE ''%' + @search + '%'''