Переменный текст в sql для C #

Question

Переменный текст в sql для C #

1

У меня есть это:

public DataSet HopDongTheoNhaCungCap(string MaNCC)
        {
            return db.MyExcuteSQL("SELECT MaHD, TenHD, ThoiHan, NCC from HopDongCungCap as c where c.NCC= 'NCC_01'", CommandType.Text, null);                    
        }

И теперь я хочу перейти на:

public DataSet HopDongTheoNhaCungCap(string MaNCC)
        {
            return db.MyExcuteSQL("SELECT MaHD, TenHD, ThoiHan, NCC from HopDongCungCap as c where c.NCC= " + MaNCC, CommandType.Text, null);                    
        }

но когда я обновляю значение для примера MaNCC MaNCC = "NCC_01", он поворачивается

SELECT MaHD, TenHD, ThoiHan, NCC from HopDongCungCap as c where c.NCC= NCC_01"

NCC_01 вот столбец не текст, пожалуйста, помогите мне

eugene 26 март 2015, в 03:05

Источник

1

Попробуйте использовать Parameterized SQL вместо того, какую базу данных вы используете ??
User2012384 26 март 2015, в 01:21
0

Вы пропускаете одинарные кавычки вокруг значения.
Dijkgraaf 26 март 2015, в 01:24
3

"And now I want to change to" - Нет, не надо. Это уязвимость SQL-инъекций. Используйте параметры запроса.
David 26 март 2015, в 01:24
1

Этот код уязвим для внедрения SQL. Вот почему вы должны по крайней мере использовать параметры, и лучший способ - использовать ORM (объектно-реляционный моделер), такой как Entity Framework, NHibernate или Linq2sql.
Brennan Pope 26 март 2015, в 01:25
0

спасибо за вашу помощь, я пропускаю одинарные кавычки вокруг значения !!!
eugene 26 март 2015, в 01:33

Показать ещё 3 комментария

Теги:

c#

sql

2 ответа

Ещё вопросы

Попробуйте использовать Parameterized SQL вместо того, какую базу данных вы используете ??
Вы пропускаете одинарные кавычки вокруг значения.
"And now I want to change to" - Нет, не надо. Это уязвимость SQL-инъекций. Используйте параметры запроса.
Этот код уязвим для внедрения SQL. Вот почему вы должны по крайней мере использовать параметры, и лучший способ - использовать ORM (объектно-реляционный моделер), такой как Entity Framework, NHibernate или Linq2sql.
спасибо за вашу помощь, я пропускаю одинарные кавычки вокруг значения !!!

CindyH · Answer 1 · 2015-03-25T22-59-00.000Z

Да, параметризованный путь. Однако в ответ на ваш прямой вопрос проблема заключается в том, что во втором наборе кода вы не ставите кавычки вокруг строковой переменной. Должен быть

        return db.MyExcuteSQL("SELECT MaHD, TenHD, ThoiHan, NCC from HopDongCungCap as c where c.NCC= '" + MaNCC + "'", CommandType.Text, null);

с кавычками вокруг переменной, которую вы добавляете.

@Cuong Если этот ответ решил вашу проблему (вы уверены, что не хотите параметризованных запросов?), Отметьте его как принятый. Спасибо!
Вы имеете в виду использовать процедуру магазина?
Вам не нужно использовать хранимую процедуру, чтобы использовать параметризованный запрос, но вы можете. Вот целая статья об этом. Кавычки решат проблему, если вы не собираетесь делать это в производстве, но гораздо лучше использовать параметризованный. blog.codinghorror.com/...
хм ... потому что я использовал три слоя, поэтому я не могу сделать такую вещь, как: SqlCommand cmd = new SqlCommand (s); cmd.Parameters.Add ("@ email", email); не могли бы вы привести пример с кодом выше @@

eugene · Answer 2 · 2015-03-26T00-14-00.000Z

Я использую

return db.MyExcuteSQL("spHopDongTheoNhaCungCap", CommandType.StoredProcedure, new SqlParameter("@MaNCC",MaNCC));

это мой sp:

ALTER PROCEDURE [dbo].[spHopDongTheoNhaCungCap]
    -- Add the parameters for the stored procedure here
    (@MaNCC NVARCHAR(50) )
AS
BEGIN
    -- SET NOCOUNT ON added to prevent extra result sets from
    -- interfering with SELECT statements.
    SET NOCOUNT ON;
    SELECT MaHD, TenHD, ThoiHan, NCC from HopDongCungCap as c where c.NCC=@MaNCC
END

и это моя проблема

Procedure or function 'spHopDongTheoNhaCungCap' expects parameter '@MaNCC', which was not supplied.

Обратите внимание, что im использует threelayer, поэтому я не знаю, как сделать что-то вроде этого:

cmd.Parameters.AddWithValue(...);

Здравствуйте, так как это не ответ, вы бы отредактировали свой вопрос и разместили там свои обновления ..?
Кроме того, вам не нужно ставить знак "@" в C # Посмотрите на это: dotnetperls.com/sqlparameter