sql - SQL 参数中的通配符

Question

我需要在我的 SQL Server 数据库中进行类似搜索。但是，我该怎么做，同时仍然使用参数作为我的搜索值？

我不是在谈论封装在 % 中。的。我需要能够添加 %在搜索词的中间。

WHERE title LIKE '%foo%bar%'

例如，但带有参数。

编辑:
详细说明参数:
我正在使用 MS SQL 2008 和 C#，所以它是:

WHERE title LIKE '@SearchParam'

和 @SearchParam然后将设置为 "%foo%bar%" .

我希望这是有道理的？

Answer 1

这工作正常

create proc dbo.lookupWild(@LIKEclause VARCHAR(20))
as
begin
    select * from teams where Name like @LIKEclause
end
go
exec lookupWild 'E%G%'  

'1=1 -- drop table' 之类的东西不是 SQL 注入(inject)的，它们只是通配符搜索的一部分