C# construisant la requête de paramètre SQL - LIKE%

Question

J'essaye de construire SQL pour une requête de paramètre en C# pour une requête qui contiendra la commande LIKE %%.

Voici ce que je suis en train de acheive (s'il vous plaît noter que la base de données est Firebird)

var SQL = string.format("SELECT * FROM {0} WHERE {1} LIKE '%?%'", TABLE, NAME); 
cmd.Parameters.AddWithValue(NAME, "JOHN"); 

Maintenant, j'ai essayé chaque permutation simple pour obtenir le paramètre à travailler, je l'ai essayé;

• Ajout du % caractère au paramètre,

  cmd.Parameters.AddWithValue(NAME, "%" + "JOHN" + "%"); 
  

• ou

  cmd.Parameters.AddWithValue(NAME, "'%" + "JOHN" + "%'"); 
  

Je ne peux pas sembler que cela fonctionne, comment puis-je utiliser un paramètre pour la requête LIKE pour fonctionner.

Les suggestions sont les bienvenues!

Answer 1

Vous ne pouvez pas avoir de paramètres à l'intérieur d'une chaîne de caractères dans la requête. Faire toute la valeur du paramètre, et ajoutez les jokers à la chaîne:

var SQL = string.format("SELECT * FROM {0} WHERE {1} LIKE ?", TABLE, NAME); 
Cmd.Parameters.AddWithValue(NAME, "%" + "JOHN" + "%"); 

Answer 2

Dans le passé, lorsque je faisais cela, je l'ai simplement intégré dans le SQL, en veillant à remplacer les guillemets simples par des points d'interrogation pour faire face à l'injection SQL. Par exemple:

var SQL = string.format("SELECT * FROM {0} WHERE {1} LIKE '%{2}%'", 
    TABLE, 
    NAME, 
    JOHN.Replace("'","?")); 

Answer 3

var SQL = string.Format("SELECT * FROM {0} WHERE {1} LIKE '%' + ? + '%'", TABLE, NAME); 
Cmd.CommandText = SQL; 
Cmd.Parameters.Add("?", SqlDbType.VarChar, 50).Value = "JOHN";