TSQL 'nom de colonne non valide' erreur sur la valeur du paramètre sproc

Question

voici mon code:

DECLARE @SQL varchar(600) 

SET @SQL = 
'SELECT  CategoryID, SubCategoryID, ReportedNumber 
FROM tblStatistics 
WHERE UnitCode = ' + @unitCode + 
' AND FiscYear = ' + @currYEAR 

EXEC (@SQL) 

Quand je lance ce sproc avec unitcode = 'COB' et currYEAR = '10', je reçois l'erreur suivante:

Invalid column name 'COB'. 

Est-ce que quelqu'un sait pourquoi?

thx!

Answer 1

Vous devez mettre des guillemets autour des valeurs dans le SQL:

'SELECT  CategoryID, SubCategoryID, ReportedNumber 
FROM tblStatistics 
WHERE UnitCode = ''' + @unitCode + 
''' AND FiscYear = ''' + @currYEAR + '''' 

Answer 2

C'est une belle vulnérabilité d'injection SQL là.

Commencez par la réécriture de cette façon, en utilisant paramètres de liaison:

DECLARE @SQL nvarchar(4000) 

SET @SQL = 
    'SELECT CategoryID, SubCategoryID, ReportedNumber ' + 
    'FROM tblStatistics ' + 
    'WHERE UnitCode = @UnitCode ' + 
    'AND FiscYear = @CurrYear' 

EXEC sp_executesql 
    @SQL, 
    '@UnitCode varchar(10), @CurrYear int', 
    @UnitCode = 'COB', 
    @FiscYear = 10 

Answer 3

Vous n'avez pas des citations à l'intérieur de vos citations - SQL voit essentiellement

WHERE UnitCode = COB 

et COB ne doit pas être une colonne. Mais pourquoi construisez-vous le SQL de cette façon? Pourquoi ne pas

SELECT CategoryID, SubCategoryID, ReportedNumber 
    FROM tblStatistics 
WHERE UnitCode = @unitCode 
    AND FiscYear = @currYear 

Answer 4

Si nous pouvons supposer que UnitCode est un domaine VARCHAR vous auriez à ajouter des guillemets autour de la variable @unitcode.

DECLARE @SQL varchar(600) 

SET @SQL = 
'SELECT  CategoryID, SubCategoryID, ReportedNumber 
FROM tblStatistics 
WHERE UnitCode = ''' + @unitCode + '''' 
' AND FiscYear = ' + @currYEAR 

EXEC (@SQL)