Question

C#写了一条SQL查询语句，带了防注入参数，但是想模糊查询怎么办

select * from Vocality where (V_vocality like '%'@V_vocality'%' or V_pronounce like %@V_pronounce% or V_chinese like %@V_chinese% )
我是这样写的，但是总是在@V_vocality这个附近报错，不管“%”的单引号加没加，都报错误：'@V_vocality' 附近有语法错误。求指教！

Answer 1

字符串需要通过符号“+”拼接
'%'@V_vocality'%' %@V_pronounce% %@V_chinese% 的写法都是错误的
应该写成'%'+@V_vocality+'%' '%'+@V_pronounce+'% ' '%'+@V_chinese+'%'

Answer 2

like '%'+@参数+'%',只能这样子写
防注入的话,你也可以在拿到这个值的时候,在后台代码检测一下先

Answer 3

like 后面跟的参数是需要 '%123%'这种性质的，也就是字符串，你为何不在参数里面就把%拼接上呢！

Answer 4

'%@V_vocality%' 这样子呢