Использование параметризованных SQL-запросов LIKE

Question

Я пытаюсь параметризовать свои SQL-выражения, но у меня возникают некоторые проблемы с оператором LIKE. Я пробовал разные решения, но ничего не работает. Мой код:

sqlCmd = new SqlCommand("SELECT " + form1.cusId.Text + "," + form1.cusName.Text" FROM " + form1.getTable() + " WHERE " + form1.getCusId() + " LIKE @filterCustomers", connection); 
sqlCmd.Parameters.AddWithValue("@filterCustomers", form1.filterCus().Trim() + "%"); 

Я получаю

"должны объявить скалярную переменную @filterCustomers".

Почему это происходит? Так как это е общее решение ...

Answer 1

Что делать, если вы пытаетесь

sqlCmd.Parameters.Add("@filterCustomers",SqlDbType.VarChar,8).Value = form1.filterCus().Trim() + "%"; 

Вместо:

sqlCmd.Parameters.AddWithValue("@filterCustomers", form1.filterCus().Trim() + "%"); 

Вы можете изменить .VarChar для какого типа вы данные и 8 для требуемая максимальная длина поля или полностью удалить ,8 без ограничений в пределах длины параметра

Answer 2

вам необходимо поместить свою строку внутрь Ingle цитирует ':

...+" LIKE '"+ form1.filterCus().Trim()+"%'", connection); 

если вы не беспокоиться о SQL Injection

EDIT: вы можете также использовать динамический SQL:

sqlCmd = new SqlCommand("EXEC ('SELECT..... WHERE FIELD LIKE ''' + @filterCustomers + '%''')", connection); 
sqlCmd.Parameters.AddWithValue("@filterCustomers", form1.filterCus().Trim() + "%");