VB.net Search Query 使用两个参数

Question

我在 VB.net 中使用具有两个参数的数据源创建了一个搜索查询。

SELECT        [Product Code], Description, Input_Date, Price, Unit, Quantity, Markup, Total
FROM            Inventory_Table
WHERE        (? = ?)

我做了两个参数，因为我想按特定列搜索，这就是我使用查询的方式：

  Inventory_TableTableAdapter.SearchQuery(DBDataSet1.Inventory_Table, InvSearchCombo.Text, InvSearchTxt.Text)

第一个参数是包含表中所有列的下拉组合框，第二个参数是输入文本框。

但是每当我尝试搜索时，什么都不会出现。 似乎是什么问题？我真的很想实现这种搜索功能。提前致谢。

Answer 1

在这你可以使用动态代码

Dim columnQuery As String = "Description"

Using command As New SqlCommand( "select Description,Input_Date from dep where " &  columnQuery  & " = @par1", connection)

command.Parameters.AddWithValue("@par1", "descripcion")

End using

编辑

更好的形式可能是这样的：

首先，创建存储过程：

CREATE PROCEDURE SP_LIST_TABLA_BY_DYNAMIC_COLUMN
@PAR_COLUMN VARCHAR(20),
@PAR_VALUE VARCHAR(20)
AS

DECLARE @STRSQL NVARCHAR(MAX)

SET @STRSQL  = 'SELECT PRODUCT_CODE,DESCRIP,INPUT_DATE FROM INVENTORY_TABLE WHERE ' + @PAR_COLUMN + ' = ' + @PAR_VALUE

EXEC sp_executesql @STRSQL

然后调用它：

Using command As New SqlCommand( "SP_LIST_TABLA_BY_DYNAMIC_COLUMN", connection)
    command.CommandType = CommandType.StoredProcedure
    command.Parameters.AddWithValue("@PAR_COLUMN", "product_code")
    command.Parameters.AddWithValue("@PAR_VALUE", "1")

    Using reader As SqlDataReader = command.ExecuteReader()
        While reader.Read() 


    End While
    End using

End using

但就像用户 @Basic 所说：如果列名来自用户输入（即使通过数据库），那么您将容易受到 SQL 注入攻击

一个建议可能是评估 par_column 名称存在并且 par_value 没有一些特殊字符。

Answer 2

假设您有一个组合过滤器并将ID 保存为@par1，文本字段另存为@par2

Combo 有这个值：

• 无（ID：-999）
• field1 (id: 0)
• field2 (id: 1)

不确定你是如何设置参数的，所以我将使用一些伪代码。

您可以制作一个技巧来动态设置要使用的过滤器。

SELECT  *
FROM    Inventory_Table
WHERE        
    (Field1 = @par2 and 0 = @par1)
OR  (Field2 = @par2 and 1 = @par1)
OR  (-999 = @par1)

因此，如果您选择Field1，那么0 = @par1 将为真，第一个过滤器将处于活动状态

如果您选择Field2，那么1 = @par1 将为真，第二个过滤器将处于活动状态

如果none 是选择所有行，则返回。