Question

Quelqu'un peut-il me dire ce qui ne va pas avec ma déclaration SQL et comment je peux l'améliorer?

da = new SqlDataAdapter("SELECT * FROM Guests"+" WHERE Students.name='" + 
    byNametextBox.Text + "'", MyConn); 

Answer 1

SqlDataAdapter("SELECT Guests.* FROM Guests,Students WHERE Guest.StudentId = Student.Id and Students.name='" + byNametextBox.Text + "'", MyConn);` 

Answer 2

Vous devez Inner Join. Je pense que ce serait quelque chose comme ceci:

SELECT Guests.* FROM Guests INNER JOIN Students ON Students.name = Guests.name WHERE Students.name = '" + byNametextBox.Text + "'" 

Answer 3

Essayez-le:

"SELECT g.* 
FROM Guests g 
INNER JOIN Students s ON g.StudentId = s.StudentId 
WHERE Students.Name = '" + byNametextBox.Text + '"' 

En supposant que le wich domaine concerne les deux tables est StudentID.

Attention, SQL n'est pas le même entre différents serveurs. Cette déclaration va fonctionner sur Sql Server, je ne sais pas dans d'autres. De plus, prenez garde de ne pas vous protéger des attaques par injection SQL. Vous devez effectuer votre requête avec des paramètres, au lieu de concaténer les chaînes comme vous le faites.

Il s'agit d'une requête simple que vous devriez connaître par vous-même. Vous pouvez rechercher des didacticiels sur Google, mais here est une introduction générique.

Answer 4

Un prédicat EXISTS est légèrement plus efficace qu'un JOIN si vous souhaitez uniquement des colonnes d'une des tables. De plus - ne jamais injecter des chaînes dans des instructions SQL comme ça - vous ne faites que mendier des attaques SQL Injection, ou des erreurs liées à des plantages (Oui, je sais que c'est une application Forms, mais c'est la même chose. "O'Leary", vous aurez un accident).

SqlCommand cmd = new SqlCommand("SELECT * FROM Guests WHERE EXISTS (SELECT Id FROM Students WHERE Guests.StudentId = Students.Id And Students.name= @name)", MyConn); 
cmd.Parameters.Add("@name", SqlDbType.VarChar, 50).Value = byNametextBox.Text; 
SqlDataAdapter adapt = new SqlDataAdapter(cmd); 

Note: Certaines personnes peuvent faire valoir que « SELECT * » est mauvais, et que vous devriez envisager de spécifier les noms de colonnes individuelles

Answer 5

Vous devez vous soucier de l'injection SQL. Dit simplement, l'injection SQL est quand un utilisateur est capable de mettre des instructions SQL arbitraires dans votre requête. Pour contourner ce problème, utilisez une procédure stockée ou une requête SQL paramétrée. Un exemple d'une requête SQL paramétrées est ci-dessous:

SqlConnection conn = null; 
SqlDataReader reader = null; 
//Connection string goes here 

string studentName = byNametextBox.Text; 

SqlCommand cmd = new SqlCommand(
    "SELECT * FROM Guests "+" WHERE Students.name = @name", conn); 

SqlParameter param = new SqlParameter("@name", SqlDbType.NVarChar, 50); 

param.Value = studentName; 

cmd.Parameters.Add(param); 
reader = cmd.ExecuteReader(); 
//Do stuff with reader here