时间：2019-04-10 标签：c#sqlsearchwithLIKE

Question

我有一个由 Artist 搜索并尝试在 sql 查询中使用 LIKE 但失败的演出数据库。

我试过了：

string strSQL = "SELECT * FROM TB_CA_gigs WHERE Artist LIKE '[%" + Artist + "%]'";

不带回任何记录

string strSQL = "SELECT * FROM TB_CA_gigs WHERE Artist LIKE '%[" + Artist + "]%'";

返回所有记录

string strSQL = "SELECT * FROM TB_CA_gigs WHERE Artist LIKE '" + Artist + "'";

不带回任何记录

我尝试过以各种方式使用 CONTAINS，但总是得到相同的错误：

System.Web.Services.Protocols.SoapException：服务器无法处理请求。 ---> System.Data.SqlClient.SqlException：关键字“CONTAINS”附近的语法不正确。 在 System.Data.SqlClient.SqlConnection.OnError（SqlException 异常，布尔 breakConnection） 在 System.Data.SqlClient.SqlInternalConnection.OnError（SqlException 异常，布尔 breakConnection） 在 System.Data.SqlClient.TdsParser.ThrowExceptionAndWarning（TdsParserStateObject stateObj） 在 System.Data.SqlClient.TdsParser.Run（RunBehavior runBehavior，SqlCommand cmdHandler，SqlDataReader dataStream，BulkCopySimpleResultSet bulkCopyHandler，TdsParserStateObject stateObj） 在 System.Data.SqlClient.SqlDataReader.ConsumeMetaData() 在 System.Data.SqlClient.SqlDataReader.get_MetaData() 在 System.Data.SqlClient.SqlCommand.FinishExecuteReader（SqlDataReader ds，RunBehavior runBehavior，字符串 resetOptionsString） 在 System.Data.SqlClient.SqlCommand.RunExecuteReaderTds（CommandBehavior cmdBehavior，RunBehavior runBehavior，布尔 returnStream，布尔异步） 在 System.Data.SqlClient.SqlCommand.RunExecuteReader（CommandBehavior cmdBehavior，RunBehavior runBehavior，布尔 returnStream，String 方法，DbAsyncResult 结果） 在 System.Data.SqlClient.SqlCommand.RunExecuteReader（CommandBehavior cmdBehavior，RunBehavior runBehavior，布尔 returnStream，String 方法） 在 System.Data.SqlClient.SqlCommand.ExecuteReader（CommandBehavior 行为，字符串方法） 在 System.Data.SqlClient.SqlCommand.ExecuteReader() 在 C:\Users\strscac\Desktop\VS\WebService1\WebService1\WebService1\Service1.asmx.cs:line 36 中的 WebService1.Service1.Search(String Artist) 处

Answer 1

您错过了一种有效的组合：

string strSQL = "SELECT * FROM TB_CA_gigs WHERE Artist LIKE '%" + Artist + "%'";

正如 wahwahwah 所说，我相信其他人也会这样做：作为一种良好做法，学习和使用参数化查询来避免 SQL 注入漏洞。

有关参数化查询的简单示例，请查看 System.Data.SqlClient.SqlCommand.Parameters 的 MSDN 文档。

Answer 2

试试这样的：

string strSQL = string.Format("SELECT * FROM TB_CA_gigs WHERE Artist LIKE '%{0}%'", Artist);

尽管您应该始终参数化您的值（例如，Artist 应该是一个参数）以防止 SQL 注入攻击。