SQL SELECT 在 WHERE 之后使用变量条件

Question

我正在使用带有网页模型的 ASP.NET，并创建了一个数据库供用户发布，这一切都很棒，然后我创建了一个页面，以便用户可以编辑他们的帖子，但是我想要它，所以用户只能编辑他们自己的帖子。

为此，我尝试了以下方法：

我做了一个变量

var EmailMatch = WebSecurity.CurrentUserName;

因此，如果我将@EmailMatch 放在 html 标记中的任何位置，它将显示当前登录用户的电子邮件地址。现在为了仅显示该用户发表的帖子，我使用了以下选择语句：

var selectAllString = "SELECT * FROM SaleData WHERE Email = '@EmailMatch'";

理论上我认为这应该可行，因为当用户发帖时，它会将他们的电子邮件地址发送到“电子邮件”字段下的数据库中，并且它应该显示与当前登录的用户相同的记录。但是这声明返回0结果，我已经尝试了所有我能想到的都没有成功，这是我最后的手段，有人可以告诉我我错过了什么吗？提前谢谢..

Answer 1

执行此操作的正确方法是通过参数化查询。永远不要将您无法控制的字符串连接到查询中。

var EmailMatch = WebSecurity.CurrentUserName;
var selectAllString = "SELECT * FROM SaleData WHERE Email = @EmailMatch";
SqlCommand cmd = new SqlCommand(s);
cmd.Parameters.Add("@EmailMatch", EmailMatch);
var resultsTable = cmd.ExecuteReader();

Answer 2

var selectAllString = "SELECT * FROM SaleData WHERE Email = '" + EmailMatch + "'";

注意：这可能会使您受到 SQL 注入攻击。

Answer 3

cmd = new MySqlCommand("SELECT * FROM SaleData WHERE Email = @EmailMatch", MySqlConn.conn);
cmd.Parameters.AddWithValue("@EmailMatch", EmailMatch);
cmd.Prepare();
cmd.ExecuteReader();

Answer 4

试试这个：

var selectAllString = "SELECT * FROM SaleData WHERE Email = '"+EmailMatch+"'";

或者为了避免 SQL 注入，你的 SQL 语句是正确的，但是你必须在你的代码中添加这个：

using (OleDbConnection CON = new OleDbConnection("your connection string")) {
   OleDbCommand Com = CON.CreateCommand();
   Com.CommandText = "SELECT * FROM SaleData WHERE Email = @EmailMatch";
        Com.CommandType = CommandType.Text;
        Com.CommandTimeout = 0;
        Com.Connection.Open();
        Com.Parameters.AddWithValue("EmailMatch",EmailMatch);
   ...
   // continue your code from here... 
}