如何在 sqlserver 查询中使用整型变量？

Question

我的 sql 查询有问题。我在sqlserver中有一个数据库。int number = int.Parse(textbox.Text);var sqlconn = new SqlConnection(@"Server=(localdb)\MSSQLLocalDB; AttachDbFileName=|DataDirectory|db.mdf;");sqlconn.Open();var sqlcomm = new SqlCommand("SELECT * FROM table WHERE title = number", sqlconn);正确的语法是什么：title = number？

Answer 1

我建议使用参数来避免SQL 注入。

可能看起来像这样。

using (SqlCommand command = new SqlCommand("SELECT * FROM table WHERE title = @Number", connection))

{

    command.Parameters.Add(new SqlParameter("@Number", int.Parse(textbox.Text)));

    //read data

}

Answer 2

您可以通过执行以下操作添加内联整数

var sqlcomm = new SqlCommand("SELECT * FROM table WHERE title = " + number.ToString(), sqlconn);

或者您可以将其添加为参数，如下所示：

var sqlcomm = new SqlCommand("SELECT * FROM table WHERE title = @num", sqlconn);

sqlcomm.Parameters.AddWithValue("@num", number);

Answer 3

这是一个非常基本的问题，你可以通过谷歌搜索轻松解决。

不管怎样，你想在这里使用参数化的 SQL 命令。

var sqlcomm = new SqlCommand("SELECT * FROM table WHERE title = @number", sqlconn);

SqlParameter param = new SqlParameter();

param.ParameterName = "@number";

param.Value = int.Parse(textbox.Text);

sqlcomm.Parameters.Add(param);