C# ADO.NET 参数化查询

Question

我有一个 T-SQL 并查询：

string queryString = @"SELECT AGENT.Number, PERSON.LoginName, AGENT.EnterpriseName FROM Agent AGENT INNER JOIN Person PERSON ON AGENT.PersonID = PERSON.PersonID WHERE LOWER(EnterpriseName) LIKE @entname";

string connStr = null;

try
{
    connStr = ConfigurationManager.ConnectionStrings["DB"].ConnectionString + ToInsecureString(Decrypt(ConfigurationManager.AppSettings["admin"])) + ";";
}
catch (Exception ex)
{
    Logs.WriteMessage("Error while making connStr " + ex.TargetSite + ex.StackTrace + ex.ToString());
}

try
{
    using (SqlConnection connection = new SqlConnection(connStr))
    {
        connection.Open();

        using (SqlCommand command = new SqlCommand(queryString, connection))
        {
            SqlParameter param = new SqlParameter
                    {
                        ParameterName = "@entname",
                        Value = "'%" + agentName + "%'"
                    };
            command.Parameters.Add(param);

            using (SqlDataReader reader = command.ExecuteReader())
            {
                while (reader.Read())
                {
                    login = (string)reader[1];
                    userID = (string)reader[0];
                }
            }
        }

        connection.Close();
    }
}

这是行不通的。我没有得到任何结果，但是当我在查询中使用值而不是 @parameter 我得到了正确的结果。

参数 @entname 没有替换为值，因此查询失败。请给我一个提示。

当我在断点处停止并查看查询时，它看起来是：

SELECT AGENT.Number, PERSON.LoginName, AGENT.EnterpriseName 
FROM Agent AGENT 
INNER JOIN Person PERSON ON AGENT.PersonID = PERSON.PersonID 
WHERE LOWER(EnterpriseName) LIKE @entname

所以什么都没有改变。

Answer 1

Parameter @entname doesn't replaced to value so the query failed.

参数不是这样工作的。 @entname 参数标记与匹配的参数值一起保留在发送到 SQL 服务器的查询中。

所以由于这种误解，您引用参数值就好像它要粘贴到 SQL 查询中一样：

Value = "'%" + agentName + "%'"

你不应该这样做。相反做

Value = "%" + agentName + "%"

C# ADO.NET 参数化查询

C# ADO.NET Parametrized query

.net

c#

ado