c# – 如何使用sql参数进行选择查询？

我需要根据与一组记录的’like’匹配来获取记录,

以下查询即时使用无效.有谁知道查询有什么问题？

sqlCommand.CommandText =String.Format("SELECT * FROM Customer" +
                " WHERE (Name like @Name)","'%" +searchString.Trim()+"%'");
            sqlCommand.Parameters.AddWithValue("Name", searchString);

此查询不提取所需的记录.

运行上面的代码片段时出现以下错误：

Must declare the scalar variable "@Name".

这样会发生什么？

sqlCommand.CommandText = "SELECT * FROM Customer WHERE Name LIKE @Name;";
sqlCommand.Parameters.AddWithValue("@Name", "%" + searchString + "%");

您还可以按如下方式对其进行编码,以避免首先出现所有通配符格式：

sqlCommand.CommandText = "SELECT * FROM Customer WHERE CHARINDEX(@Name, Name) > 0;";
sqlCommand.Parameters.AddWithValue("@Name", searchString);

如果你打算以不安全的方式坚持这样做,至少要将searchString中的任何单引号加倍,例如：

searchString.Replace("'", "''")

查看更多关于c# – 如何使用sql参数进行选择查询？的详细内容...