我可以在 ASP.NET 中使用 request.querystring 作为 SQL 查询的参数吗？答案

【问题标题】：Can I use request.querystring as a SQL query's parameter in ASP.NET?我可以在 ASP.NET 中使用 request.querystring 作为 SQL 查询的参数吗？
【发布时间】：2013-08-09 00:20:12
【问题描述】：

在 ASP.NET 中，我想对 request.querystring 进行查询，但它似乎不起作用。

1.var search = Convert.ToString(Request.QueryString["search"]);                          
2.var query= db.product2s.SqlQuery("select * from product2s where tm ='{0}'",search);

在网页中我设置了search="F112130601"，在服务器端我可以看到值request.querystring["search"]是"F112130601"，但是服务器响应没有记录结果。

但是，如果我将代码更改为以下行，我可以在查看网页时得到响应，服务器有一些记录结果。

1.var search="F112130601"; 
2.var query= db.product2s.SqlQuery("select * from product2s where tm ='{0}'",search);

【问题讨论】：

在第二行设置断点并检查search的值。大概什么都没通过。你的代码在我看来没问题。
SQL injection.. look it up。您还应该查看准备好的语句。如果您搜索它，有很多可用的资源。
"afzalulh"-我检查了搜索的值，它的值是“F112130601”
你能提供完整的查询字符串吗？下一个嫌疑人将是一个格式错误的地址。它需要类似于?search=F 或?foo=bar&search=F
Chris Schiffhauer--我使用serverip/home/product?search="F112130601" 访问服务器，但没有从服务器获得记录结果。

标签： asp.net request.querystring

【解决方案1】：

对不起。我的查询有误。

问题是我不应该在产品代码周围使用“”，

http://test.com/home/product?search="F112130601"

当我使用下面的代码访问服务器时，我得到了记录

http://test.com/home/product?search=F112130601

感谢您的所有帮助。

【讨论】：