C# SQL 选择查询表参数

Question

我正在尝试从一个表中进行选择，其中表名是从一个变量中分配的，因为我使用两个不同的表。然而，它出现了一个 DB2Exception 错误。

db2Error = {"ERROR [42601] [IBM][AS] SQL0104N  An unexpected token \"'TABLENAME'\" was found following \"\". 

此查询是导致错误的查询 - 表名是一个包含表名的字符串。

string strUpdate = "SELECT COMMENT FROM '" + tableName + "' WHERE NUMBER = '" + strNumber + "' AND CODE = '" + c.Trim() + "' ";

这个查询工作正常 -

 //  string strUpdate = "SELECT COMMENT FROM TABLE WHERE NUMBER = '" + strNumber + "' AND CODE = '" + c.Trim() + "'";

是否可以为表名参数化/使用变量？

Answer 1

抛开 SQL 注入风险，显示的两个查询根本不一样。

您显示的查询是

string strUpdate = "SELECT COMMENT FROM TABLE WHERE NUMBER = " 等

但是，您显示的代码会产生以下查询：

string strUpdate = "SELECT COMMENT FROM 'TABLE' WHERE NUMBER = " 等

表名不应该用引号引起来。鉴于您没有使用参数，这甚至不是参数系统的错；引号就在您自己的查询构造代码中。删除它们即可。

Answer 2

为什么在 from 语句中使用 qoutes？它应该只是

select sysdate 
from dual;

还可以使用 SqlCommand 类在您的选择语句中添加参数，如下所示。

string strUpdate = "SELECT COMMENT FROM @tablename WHERE NUMBER = @strnumber AND CODE = @c";
SqlCommand insertCommand = new SqlCommand(strUpdate , connection);
insertCommand.Parameters.AddWithValue("@tableName ", tableName );
insertCommand.Parameters.AddWithValue("@strNumber ", strNumber );
insertCommand.Parameters.AddWithValue("@c", c.trim());