c# - 文字列が条件と異なる SQL クエリ

Question

私はSQLクエリを持っています

Select Itemcode from StocktransferlocationDetails 
where Projectname='" +  projectname_stockout + "'  and 
       Stocktransferlocation !='" + location_stockout + "' and Status='Open'

C#で使用すると正しく動作しませんが、SQlでは正しく動作しました。SQLで次のクエリを使用しました

  Select Itemcode from StocktransferlocationDetails 
  where Projectname='iupl'  and Stocktransferlocation !='Chennai-Bangalore' 
        and Status='Open'

これを行う方法

Answer 1

引用符で囲まれた文字列である必要があり、代わりに SqlParameter を使用して Sql インジェクションを防ぐ必要があります。

var sql = "Select Itemcode 
              from StocktransferlocationDetails 
              where Projectname = @ProjectName  
              and Stocktransferlocation <> @Stocktransferlocation 
              and Status='Open'";

var param1 = new SqlParameter("@ProjectName", projectname_stockout);
var param2 = new SqlParameter("@Stocktransferlocation", location_stockout);

これはソリューションの一部に過ぎず、SqlCommand オブジェクトを使用してクエリにパラメーターを設定する必要があります。

Answer 2

SQL Server に送信されるクエリを特定します。

1. コードから (クエリ文字列)。
2. SQL Server プロファイラーを使用します ([Microsoft SQL Server Management Studio] > [ツール] > [SQL Server プロファイラー] から開きます)。

コードからのクエリと管理スタジオのクエリには何か違うものがあるはずです。

Answer 3

C# では、次のように使用する必要があります:-

string query="Select Itemcode from StocktransferlocationDetails"+ 
+" where Projectname=" +  projectname_stockout + "  and "+
      +" Stocktransferlocation !=" + location_stockout + " and Status='open'";