Sqlserver
 sql >> база данни >  >> RDS >> Sqlserver

Как да използвам низова променлива в sql израз

Можете просто да направите това

query = "Select * From Table Where Title = " + someone;

Но това е лошо и ви отваря към SQL инжектиране

Трябва просто да използвате параметризирана заявка

Нещо подобно трябва да ви помогне да започнете

using (var cn = new SqlClient.SqlConnection(yourConnectionString))
using (var cmd = new SqlClient.SqlCommand())
{
   cn.Open();
   cmd.Connection = cn;
   cmd.CommandType = CommandType.Text;
   cmd.CommandText = "Select * From Table Where Title = @Title";
   cmd.Parameters.Add("@Title", someone);
}

От отговора на Джон Скийт, тъй като неговият беше по-пълен от моя

Вижте документите за SqlCommand.Parameters за повече информация.

По принцип не трябва да вграждате вашите стойности в самия SQL поради различни причини:

  • Не е елегантно да се смесват код и данни
  • Отваря ви за атаки чрез SQL инжектиране, освен ако не сте много внимателни при избягването
  • Трябва да се тревожите за форматиране и подробности за i18n за неща като числа, дати и часове и т.н.
  • Когато заявката остава същата, като се променят само стойностите, оптимизаторът има по-малко работа - той може да търси директно предишната оптимизирана заявка, тъй като тя ще бъде идеално съвпадаща с SQL.


  1. Database
  2.   
  3. Mysql
  4.   
  5. Oracle
  6.   
  7. Sqlserver
  8.   
  9. PostgreSQL
  10.   
  11. Access
  12.   
  13. SQLite
  14.   
  15. MariaDB
  1. SSMS вече се предлага с Azure Data Studio

  2. Вмъкване на множество редове в Sybase ASE

  3. Проверете дали таблицата съществува в SQL Server

  4. Премахване на кавички от всички редове в колона

  5. как да разделя низ в различни колони?