参数化 SQL SELECT 语句

Question

我最近一直在对我的 SQL 语句进行参数化处理，并且已经成功地为我的 INSERT、UPDATE 和 DELETE 查询这样做了。但是，我正在努力使用SELECT... 有人可以帮助我吗？我觉得是因为我使用的是OleDbDataAdapter，而不是OleDbCommand？

    Public Shared Function getPerson(ByVal personID As Integer, m_cn As OleDbConnection)

    Dim Dt As New DataTable

    Dim Da As New OleDbDataAdapter
    Da = New OleDbDataAdapter("SELECT * FROM tblPerson WHERE personID = " & personID, m_cn)

    Da.Fill(Dt)

    Return Dt

End Function

Answer 1

OleDbDataAdapter.SelectCommand 具有用于选择记录的 SQL 语句（或存储过程）的参数：

Using da = New OleDbDataAdapter("SELECT * FROM tblPerson WHERE personID = @PersonID", m_cn)
    da.SelectCommand.Parameters.Add("@PersonID", OleDbType.Integer).Value = personID
    Da.Fill(Dt)
End Using

我建议不要重用连接（或将其设为静态/共享），因为这会导致各种问题。而是在需要的地方创建、打开和使用它，因此在此方法中，最好使用Using 语句来确保即使出现错误也能关闭它。