如何创建参数化查询？

Question

我已经被这个问题困扰了一段时间，并且已经完成了几个教程但没有成功。

如何在 C# 中使用 Oracle.ManagedDataAccess.dll 而不是旧的 Oracle.DataAccess.dll 来使用参数化查询？

我试过的代码是：

string query = @"SELECT Count(*) FROM @table WHERE @custNM = '@nm'";

OracleCommand mySearch = new OracleCommand(query, newConn);
mySearch.Prepare();

mySearch.Parameters.Add("@table", "cust");
mySearch.Parameters.Add("@custNM", "nm");
mySearch.Parameters.Add("@nm", "SAM");

我也试过没有mySearch.Prepare 部分和机智：而不是@ 并且没有@ 前缀查询字符串。我尝试的另一件事是删除 @/: 在 Add 字符串的开头，例如

mySearch.Parameters.Add("nm", "SAM");

我的最终目标是使用变量来传递值，而不仅仅是语句的字符串文本，如果这样做更容易的话。

Answer 1

首先，你应该使用:作为参数标识符，而不是SQL Server常用的@。

其次，您不能使用参数提供表名或字段名。它应该是硬编码或使用动态 SQL 编写的。

第三，你不应该转义参数。他们不需要那个。

现在最好的办法是：

string query = @"SELECT Count(*) FROM cust WHERE nm = :nm";

OracleCommand mySearch = new OracleCommand(query, newConn);
mySearch.Parameters.Add(":nm", "SAM");