C# 如何从tablename被指定为SqlParameter的表中进行选择?
我正在尝试执行动态sql选择,其中我正在使用参数从表中进行选择C# 如何从tablename被指定为SqlParameter的表中进行选择?,c#,dynamic-sql,sqlhelper,C#,Dynamic Sql,Sqlhelper,我正在尝试执行动态sql选择,其中我正在使用参数从表中进行选择 SELECT null FROM @TableName 然而,我得到的错误必须声明表变量@TableName。我怀疑这是因为我正在使用变量从表中进行选择。我以前不需要这样做 List<SqlParameter> sqlParams = new List<SqlParameter>() { new SqlParameter("TableName", "testtable"), new Sq
SELECT null FROM @TableName
然而,我得到的错误必须声明表变量@TableName。我怀疑这是因为我正在使用变量从表中进行选择。我以前不需要这样做
List<SqlParameter> sqlParams = new List<SqlParameter>()
{
new SqlParameter("TableName", "testtable"),
new SqlParameter("FieldName", "testfield"),
new SqlParameter("Find", "testfind"),
};
string sqlSelect = "SELECT null FROM @TableName
WHERE @FieldName LIKE '%' + @Find + '%' ";
DataTable dtSelect = SqlHelper.ExecuteDataset(sqlConn, CommandType.Text,
sqlSelect, 30, sqlParams.ToArray()).Tables[0];
//30 = timeout
如何使用动态sql执行上述操作?没有存储过程请您不能将参数用于表名和列名之类的内容。对于这些,您可以有一个可能值的白名单,然后在构建SQL查询时使用字符串连接。您不能使用这样的参数,因此必须将查询构建为字符串。您可以在SQL中这样做,但也可以在C代码中创建字符串 确保表名和字段名是安全和可信的值,并且不是直接来自不安全的源(如web请求)
string tableName = "testtable";
string fieldName = "testfield";
List<SqlParameter> sqlParams = new List<SqlParameter>() {
new SqlParameter("Find", "testfind"),
};
string sqlSelect =
"SELECT null " +
"FROM " + tableName + " " +
"WHERE " + fieldName + " LIKE '%' + @Find + '%' ";
您忘记在代码中使用TableName参数。。。和TableNameWHERE将不会运行。。。
private DataTable ExecuteDynamic(string TableName,string FieldName, string Find)
{
string sqlSelect = "SELECT * FROM " + TableName +
" WHERE " + FieldName + " LIKE '%'" + Find + "'%' ";
using (connection = new SqlConnection(Strcon))
connection.Open();
{
using (cmd = new SqlCommand(sqlSelect, connection))
{
cmd.CommandType = CommandType.Text;
cmd.CommandTimeout = 60;
adpt = new SqlDataAdapter(cmd);
dt = new DataTable();
adpt.Fill(dt);
return (dt);
}
}
}