Изменить SqlDataSource.SelectCommand с помощью хранимой процедуры с параметрами

Question

Я пытаюсь создать окно поиска в своем приложении, для этого мне нужно изменить SqlDataSource.SelectCommand. Буду признателен за любую помощь!

Для тестирования я сделал это так, он работает, но она уязвима для SQL инъекций

SqlDataSource1.SelectCommand = "sp_offer_search '" + txtSearch.Text + "', " + Session["customerId"] + " , '" + "Pending"+ "'"; 
    GridView1.DataBind(); 

Это то, что я пытался до сих пор, но он не работает:

if (txtSearch.Text != "") 
     {     
     //open connection 
      oCn.Open(); 
      SqlCommand com = new SqlCommand(query, oCn); 
      com.CommandType = CommandType.StoredProcedure; 

      com.Parameters.AddWithValue("@Variable", txtSearch.Text); 
      com.Parameters.AddWithValue("@CustomerId",Session["customerId"]); 
      com.Parameters.AddWithValue("@Status", txtStatus.Text); 


      DataTable dt = new DataTable(); 
      dt.Load(com.ExecuteReader()); 

      SqlDataSource1.SelectCommand = dt.ToString(); 
      GridView1.DataBind(); 
     } 

Answer 1

Решено! Вот что я пробовал и работает. Надеюсь, это может помочь кому-то.

if (txtSearch.Text != "") 
     { 
      try 
      { 
       // open connection 
       oCn.Open(); 

       SqlDataAdapter da = new SqlDataAdapter("sp_offer_search", oCn); 

       da.SelectCommand.CommandType = CommandType.StoredProcedure; 
       da.SelectCommand.Parameters.Add("@Variable", SqlDbType.VarChar).Value = txtSearch.Text; 
       da.SelectCommand.Parameters.Add("@CustomerId", SqlDbType.Int).Value = Session["customerId"]; 
       da.SelectCommand.Parameters.Add("@Status", SqlDbType.VarChar).Value = "Pending"; 

       DataTable dt = new DataTable(); 
       da.Fill(dt); 
       GridView1.DataSourceID = String.Empty; 
       GridView1.DataSource = dt; 
       GridView1.DataBind(); 

      } 
      catch(Exception ex) 
      { 
       Response.Write(ex.ToString()); 
      } 
      finally 
      { 
       oCn.Close(); 
      } 

     } 
     else 
     { 
      GridView1.DataSourceID = "SqlDataSource1"; 
      SqlDataSource1.SelectCommand = SqlDataSource1.SelectCommand; 
      GridView1.DataBind(); 
     } 

Answer 2

Если Источник данных GridView установлен в SqlDataSource1, тогда вам не нужен DataTable. И DataTable.ToString() не является selectCommand. Попытка:

if (txtSearch.Text != "") 
    {       
     SqlCommand com = new SqlCommand(query, oCn); 
     com.CommandType = CommandType.StoredProcedure; 

     com.Parameters.AddWithValue("@Variable", txtSearch.Text); 
     com.Parameters.AddWithValue("@CustomerId",Session["customerId"]); 
     com.Parameters.AddWithValue("@Status", txtStatus.Text); 

     SqlDataSource1.SelectCommand = com; 
     GridView1.DataBind(); 
    }