将参数传递给 .fromsql

Question

我无法解决这个问题，我感到很沮丧。我想对数据库中的人进行基本搜索，以下工作正常

 IQueryable<VwSomeView> dbresult = db.vwSomeView.FromSql("select * from vwSomeView where firstname like '%" + searchfor + "%' or lastname like '%" + searchfor + "%'");

但这很糟糕，因为可能存在 SQL 注入。所以我尝试了这个（因为我在调用存储过程之前使用它并且它工作正常）

IQueryable<VwSomeView> dbresult = db.vwSomeView.FromSql("select * from vwSomeView where firstname like '%{0]%' or lastname like '%{0}%'",searchfor);

wich 不工作。我用 SqlParameter

试过了

SqlParameter para = new SqlParameter("search", searchfor);
IQueryable<VwSomeView> dbresult = db.vwSomeView.FromSql("select * from vwSomeView where firstname like '%@search%' or lastname like '%@search%'",para);

这也不行。

有人可以告诉我我做错了什么吗？ 谢谢

Answer 1

当然，我在发布问题后仅 10 分钟就知道了。 这是有效的

DbParameter para = new SqlParameter("search", "%"+searchfor+"%");
IQueryable<VwSomeView> dbresult = db.vwSomeView.FromSql($"select * from vwSomeView where firstname like @search or lastname like @search",para);

Answer 2

在 SQL 中使用 @search 作为变量（而不是在字符串中），它应该可以工作。

SqlParameter para = new SqlParameter("search", "%" + searchfor + "%");
IQueryable<VwSomeView> dbresult = db.vwSomeView.FromSql("select * from vwSomeView where firstname like @search or lastname like @search",para);