datalist contol не связывает

Question

Мне нужно привязать datalist control к значениям, вставленным в форму поиска frined. вот мой код:

protected void search_Click(object sender, EventArgs e) 
    { 
SqlConnection cn = new SqlConnection(@"Data Source=.\SQLEXPRESS;AttachDbFilename=C:\Users\Mahi\Documents\Visual Studio 2010\Projects\fc 6-4\fc\App_Data\fc.mdf;Integrated Security=True;User Instance=True"); 

     cn.Open(); 

     string str = "select unm='" + funm_txt.Text + "' , university='" + DDLuni.SelectedItem + "', city='"+ DDLcity .SelectedItem +"' , yjoin='" + DDLyjoin.SelectedValue + "' ,yleave= '" + DDLycom.SelectedValue + "', ybatch='" + DDLbtch.SelectedValue + "' from profile"; 

     SqlCommand cmd = new SqlCommand(str, cn); 
     cmd.ExecuteNonQuery(); 
     SqlDataAdapter da = new SqlDataAdapter(str, cn); 
     DataTable dt = new DataTable(); 

     DataList1 .DataSource =dt; 
     DataList1.DataBind(); 
     cn.Close(); 

    } 

Answer 1

Есть несколько вещей, которые я заметил:

-Прежде всего, вы сильно vulnerable to sql-injection attacks, как вы передаете введены пользователем значения непосредственно в базу данных. Вы можете avoid this by using a parameterised query.

-Всегда вам необходимо отфильтровать записи в предложении WHERE. На данный момент вы назначаете введенные пользователем/выбранные значения в запрос выбора.

-И вам нужно использовать SelectedValue из списка не SelectedItem

-Также вы можете использовать using() блоки, чтобы получить SqlConnection and DataAdapter Disposed в конце.

Попробуйте это (Пожалуйста, замените col1, col2 по мере необходимости и выполнить запрос назначая все параметры):

DataTable dt = new DataTable(); 
using (SqlConnection cnn = new SqlConnection("your_conn_string")) 
{ 
    string str = "Select Col1, Col2,... From profile " + 
       "Where unm = @unm and university= @uni and " + 
       "..." + 
       "ybatch = @ybatch"; 

    SqlCommand cmd = new SqlCommand(str, cnn); 
    cmd.Parameters.AddWithValue("@unm",funm_txt.Text); 
    cmd.Parameters.AddWithValue("@uni",DDLuni.SelectedValue); 
    ... 
    cmd.Parameters.AddWithValue("@ybatch",DDLbtch.SelectedValue); 


    using (SqlDataAdapter adapter = new SqlDataAdapter()) 
    { 
    adapter.SelectCommand = cmd; 

    cnn.Open(); 
    adapter.Fill(dt); 
    } 
} 

DataList1.DataSource =dt; 
DataList1.DataBind(); 

Answer 2

попробовать это,

cn.Open(); 

    string str = "select unm='" + funm_txt.Text + "' , university='" + DDLuni.SelectedItem + "', city='"+ DDLcity .SelectedItem +"' , yjoin='" + DDLyjoin.SelectedValue + "' ,yleave= '" + DDLycom.SelectedValue + "', ybatch='" + DDLbtch.SelectedValue + "' from profile"; 

    SqlDataAdapter da = new SqlDataAdapter(str, cn); 
    DataTable dt = new DataTable(); 
    da.fill(dt); 
    DataList1 .DataSource =dt; 
    DataList1.DataBind(); 
    cn.Close(); 

Answer 3

Добавить следующий код:

Ваш SqlDataAdapter и SqlCommand не обменивается.

и вы не заполнили Datatable в результате.

da.SelectCommand = cmd; 
da.fill(dt);