时间戳

首页 > 解决方案 > 如何在 C# 中进行参数化 SELECT 查询？

c# - 如何在 C# 中进行参数化 SELECT 查询？

问题描述

我正在尝试使用 DataGridView 和 C# 和 SQL Server 中的参数化查询来显示数据库表中的数据。

到目前为止，我已经尝试过这段代码：

private void button1_Click(object sender, EventArgs e)
{
        SqlConnection con = new SqlConnection(@"Data Source=.\SQLEXPRESS01;Initial Catalog=Vagtplan;Integrated Security=True");

        SqlCommand cmd = new SqlCommand("SELECT Ansatte.ansatID = @ansat, Ansatte.Navn = @navn, Ansatte.Efternavn = @efternavn, Ansatte.Adresse = @adresse, Ansatte.Postnummer = @postnummer, Ansatte.Bynavn = @bynavn, Ansatte.Email = @email, Ansatte.Mobilnr = @mobilnr, Login_data.Brugertype = @brugertype FROM Ansatte INNER JOIN Login_data ON Ansatte.ansatID = Login_data.ansatID", con);

        cmd.Parameters.Add("@ansat", SqlDbType.Int);
        cmd.Parameters.Add("@navn", SqlDbType.VarChar);
        cmd.Parameters.Add("@eftervavn", SqlDbType.VarChar);
        cmd.Parameters.Add("@adresse", SqlDbType.VarChar);
        cmd.Parameters.Add("@postnummer", SqlDbType.Int);
        cmd.Parameters.Add("@bynavn", SqlDbType.VarChar);
        cmd.Parameters.Add("@email", SqlDbType.VarChar);
        cmd.Parameters.Add("@mobilnr", SqlDbType.Int);
        cmd.Parameters.Add("@brugertype", SqlDbType.VarChar);

        SqlDataAdapter sda = new SqlDataAdapter(cmd);
        DataTable dt = new DataTable();
        sda.Fill(dt);

        dataGridView2.DataSource = dt;
    }

但我收到以下错误：

'=' 附近的语法不正确

如何修复它，以便我可以使用参数化查询选择数据？预期结果是，该数据将显示在 DataGridView 中。

标签： c#sql-serverselectquery-parameters

解决方案

你这里发生了一些事情，我会尽力为你分解。使用数据库时，您通常会执行“select...from...”来获取数据并“insert into...”来将记录添加到表中。

接下来，您的查询。您的缩短版本..这里的问题是您试图将@ansat PARAMETER 值分配到 Ansatte.ansatID 字段中，该字段一开始是不正确的语法上下文，但无论如何都要查看。

SqlCommand cmd = new SqlCommand(
@"SELECT 
      Ansatte.ansatID = @ansat, 
      Ansatte.Navn = @navn, 
      Ansatte.Efternavn = @efternavn, 
      Ansatte.Adresse = @adresse...
   FROM 
      Ansatte 
         INNER JOIN Login_data 
            ON Ansatte.ansatID = Login_data.ansatID", con);

然后添加参数...

cmd.Parameters.Add("@ansat", SqlDbType.Int);
cmd.Parameters.Add("@navn", SqlDbType.VarChar);
cmd.Parameters.Add("@eftervavn", SqlDbType.VarChar);
cmd.Parameters.Add("@adresse", SqlDbType.VarChar);

很好，您正在使用参数，但您只是声明了参数，您从未为它们分配任何实际值，这实质上导致以下内容被传递给引擎

SELECT 
      Ansatte.ansatID = , 
      Ansatte.Navn = , 
      Ansatte.Efternavn = , 
      Ansatte.Adresse = 
   FROM 
      Ansatte 
         INNER JOIN Login_data 
            ON Ansatte.ansatID = Login_data.ansatID

因此，您的错误可能是 = 符号没有值。现在，要实际将“值”添加到您的参数中...您的声明看起来不错，只需使用一个可能是固定值的值完成它，来自窗口条目、配置设置等...

cmd.Parameters.Add("@ansat", SqlDbType.Int).Value = 123;
cmd.Parameters.Add("@navn", SqlDbType.VarChar).Value = "test";
cmd.Parameters.Add("@eftervavn", SqlDbType.VarChar).Value = "more";
cmd.Parameters.Add("@adresse", SqlDbType.VarChar).Value = "done";

这将导致受保护的（非sql注入）

现在，您可能真正在寻找什么。您的数据库中有一个要从中提取信息的表。在这种情况下，请选择您想要的列，而不是您想要设置的值。随便查询。前任：

SqlCommand cmd = new SqlCommand(
@"SELECT 
      Ansatte.ansatID, 
      Ansatte.Navn, 
      Ansatte.Efternavn, 
      Ansatte.Adresse, 
      Ansatte.Postnummer, 
      Ansatte.Bynavn, 
      Ansatte.Email, 
      Ansatte.Mobilnr, 
      Login_data.Brugertype
   FROM 
      Ansatte 
         INNER JOIN Login_data 
            ON Ansatte.ansatID = Login_data.ansatID", con);

如果您运行上述查询，它将返回数据库中在每个相应表之间具有匹配 ID 的所有记录。

现在，将参数附加到 SQL-SELECT 查询。假设您只想要给定 PostNumber 区域内的所有名称。为此类字段和参数化值添加 WHERE 条件，例如

   FROM 
      Ansatte 
         INNER JOIN Login_data 
            ON Ansatte.ansatID = Login_data.ansatID
   where
      Ansatte.Postnummer = @MyPostCriteria", con );
      

cmd.Parameters.Add("MyPostCriteria", SqlDbType.Int).Value = 11223;

现在，如果您尝试向数据库添加一条记录，那将是一个插入，并且您一次只能插入一个表，可能如下所示。您确定要插入的表和列，然后在顶部的括号列表中添加与其对应序列相同的序列中的值。然后参数化

SqlCommand cmd = new SqlCommand(
@"INSERT INTO Ansatte
   ( Navn,
     Efternavn,
     Adresse
   )
   values
   ( @parmForNavn,
     @parmForEfternavn,
     @parmForAdresse
   )", con);


    cmd.Parameters.Add("parmForNavn", SqlDbType.VarChar).Value = "test";
    cmd.Parameters.Add("parmForEfternavn", SqlDbType.VarChar).Value = "blah";
    cmd.Parameters.Add("parmForAdresse", SqlDbType.VarChar).Value = "123 some street";

希望这可以让您开始尝试从数据库中提取数据或插入数据来完成的工作。

推荐阅读