Quelqu'un peut-il m'aider pour la syntaxe de la requête de sélection?

Question

i`m faire

string sql = "select * from publisher where title like "'"+tbproperty.text+"; 

mais il s `ne fonctionne pas!

.. ce qui a trait

Answer 1

Correction ..

string sql = "select * from publisher where title like '" + tbproperty.text + "'"; 

Answer 2

Utilisation SqlParameter:

SqlCommand cmd = new SqlCommand("select * from publisher where title like @title"); 
cmd.Parameters.AddWithValue("@title", tbProperty.Text); 

Si vous devez ajouter au paramètre, puis procédez comme suit (Ex: paramètre de sortie):

SqlParameter param = new SqlParameter("@param ", SqlDbType.NVarChar, 250) { Direction = ParameterDirection.Output }; 
cmd.Parameters.Add(param); 

Cela signifie que vous n'avez pas besoin de construire la chaîne en soi et arrête l'injection SQL.

Answer 3

Avec LIKE, si vous vous attendez commencer/fin matchs dont vous avez besoin des jokers tels que '%', et je suis en supposant que l'utilisateur n'ajoute pas ceux; mais - important: don't concatenate user input. Déjà; vous voulez quelque chose comme:

sql = "select * from publisher where title like @arg"; 

Avec @arg défini comme un paramètre, avec une valeur quelque chose comme:

cmd.Parameters.AddWithValue("@arg", "%" + tbproperty.text + "%");