c# - 如何在 C# 中进行参数化 SELECT 查询？

Question

我正在尝试使用 DataGridView 以及 C# 和 SQL Server 中的参数化查询来显示数据库表中的数据。

到目前为止，我已经尝试过这段代码:

private void button1_Click(object sender, EventArgs e)
{
        SqlConnection con = new SqlConnection(@"Data Source=.\SQLEXPRESS01;Initial Catalog=Vagtplan;Integrated Security=True");

        SqlCommand cmd = new SqlCommand("SELECT Ansatte.ansatID = @ansat, Ansatte.Navn = @navn, Ansatte.Efternavn = @efternavn, Ansatte.Adresse = @adresse, Ansatte.Postnummer = @postnummer, Ansatte.Bynavn = @bynavn, Ansatte.Email = @email, Ansatte.Mobilnr = @mobilnr, Login_data.Brugertype = @brugertype FROM Ansatte INNER JOIN Login_data ON Ansatte.ansatID = Login_data.ansatID", con);

        cmd.Parameters.Add("@ansat", SqlDbType.Int);
        cmd.Parameters.Add("@navn", SqlDbType.VarChar);
        cmd.Parameters.Add("@eftervavn", SqlDbType.VarChar);
        cmd.Parameters.Add("@adresse", SqlDbType.VarChar);
        cmd.Parameters.Add("@postnummer", SqlDbType.Int);
        cmd.Parameters.Add("@bynavn", SqlDbType.VarChar);
        cmd.Parameters.Add("@email", SqlDbType.VarChar);
        cmd.Parameters.Add("@mobilnr", SqlDbType.Int);
        cmd.Parameters.Add("@brugertype", SqlDbType.VarChar);

        SqlDataAdapter sda = new SqlDataAdapter(cmd);
        DataTable dt = new DataTable();
        sda.Fill(dt);

        dataGridView2.DataSource = dt;
    }

但是我得到以下错误:

Incorrect syntax near '='

如何修复它以便我可以使用参数化查询来选择数据？预期结果是，数据将显示在 DataGridView 中。

Answer 1

你这里发生了一些事情，我会尽力为你分解。使用数据库时，您通常执行“select...from...”以获取数据并“insert into...”以将记录添加到表中。

接下来，您的查询。你的缩短版本。这里的问题是你试图将 @ansat PARAMETER 值分配给 Ansatte.ansatID 字段，这是不正确的语法上下文，但不管怎样都要检查。

SqlCommand cmd = new SqlCommand(
@"SELECT 
      Ansatte.ansatID = @ansat, 
      Ansatte.Navn = @navn, 
      Ansatte.Efternavn = @efternavn, 
      Ansatte.Adresse = @adresse...
   FROM 
      Ansatte 
         INNER JOIN Login_data 
            ON Ansatte.ansatID = Login_data.ansatID", con);

然后添加参数...

cmd.Parameters.Add("@ansat", SqlDbType.Int);
cmd.Parameters.Add("@navn", SqlDbType.VarChar);
cmd.Parameters.Add("@eftervavn", SqlDbType.VarChar);
cmd.Parameters.Add("@adresse", SqlDbType.VarChar);

很好，你正在使用参数，但你只是声明了参数，你从未给它们分配任何实际值，这实际上导致以下内容被传递给引擎

SELECT 
      Ansatte.ansatID = , 
      Ansatte.Navn = , 
      Ansatte.Efternavn = , 
      Ansatte.Adresse = 
   FROM 
      Ansatte 
         INNER JOIN Login_data 
            ON Ansatte.ansatID = Login_data.ansatID

因此，您的错误可能是 = 符号没有值。现在，要将“值”实际添加到您的参数中……您的声明看起来没问题，只需用一个可以是固定值的值来完成它，来自窗口条目、配置设置等等……

cmd.Parameters.Add("@ansat", SqlDbType.Int).Value = 123;
cmd.Parameters.Add("@navn", SqlDbType.VarChar).Value = "test";
cmd.Parameters.Add("@eftervavn", SqlDbType.VarChar).Value = "more";
cmd.Parameters.Add("@adresse", SqlDbType.VarChar).Value = "done";

这将导致 protected (非 sql 注入(inject))

现在，您可能真正要寻找的是什么。您的数据库中有一个要从中提取信息的表。在这种情况下，选择您想要的列，而不是您想要设置的值。只是查询。例如:

SqlCommand cmd = new SqlCommand(
@"SELECT 
      Ansatte.ansatID, 
      Ansatte.Navn, 
      Ansatte.Efternavn, 
      Ansatte.Adresse, 
      Ansatte.Postnummer, 
      Ansatte.Bynavn, 
      Ansatte.Email, 
      Ansatte.Mobilnr, 
      Login_data.Brugertype
   FROM 
      Ansatte 
         INNER JOIN Login_data 
            ON Ansatte.ansatID = Login_data.ansatID", con);

如果您运行上述查询，它将返回数据库中每个表之间具有匹配 ID 的所有记录。

现在，将参数附加到 SQL-SELECT 查询。假设您只想要给定 PostNumber 区域内的所有姓名。为此类字段和参数化值添加 WHERE 条件，例如

   FROM 
      Ansatte 
         INNER JOIN Login_data 
            ON Ansatte.ansatID = Login_data.ansatID
   where
      Ansatte.Postnummer = @MyPostCriteria", con );
      

cmd.Parameters.Add("MyPostCriteria", SqlDbType.Int).Value = 11223;

现在，如果您尝试向数据库中添加一条记录，那将是一次插入，并且您一次只能对一个表执行插入操作，可能如下所示。您确定要插入的表和列，然后确定与顶部括号列表中添加的相应序列相同序列中的值。然后参数化

SqlCommand cmd = new SqlCommand(
@"INSERT INTO Ansatte
   ( Navn,
     Efternavn,
     Adresse
   )
   values
   ( @parmForNavn,
     @parmForEfternavn,
     @parmForAdresse
   )", con);


    cmd.Parameters.Add("parmForNavn", SqlDbType.VarChar).Value = "test";
    cmd.Parameters.Add("parmForEfternavn", SqlDbType.VarChar).Value = "blah";
    cmd.Parameters.Add("parmForAdresse", SqlDbType.VarChar).Value = "123 some street";

希望这可以让您迅速开始尝试通过从数据库中提取数据或插入数据来完成您想要完成的任务。