получить столбец из базы данных, используя строку

Question

Моего кодом:

SqlCommand command = new SqlCommand("SELECT min(Score) FROM MenAthletics WHERE [(@sportevent)] < (@result);", connect); 
     command.Parameters.AddWithValue("@sportevent", sportEvent); 
     command.Parameters.AddWithValue("@result", result); 

@result отлично (только двойной переменный) @sportevent doesnt't работы (ошибка: недопустимый имя_столбец) работает (является Спортивной строкой)

Как я могу выбрать столбец, указав строку?

Answer 1

Вы можете динамически строить SQL-запрос вместо того, чтобы передавать имя столбца в качестве параметра.

Answer 2

Вы можете параметризовать значения в операторах SQL, но вы не можете параметризовать имена столбцов или таблиц. Вам нужно изменить имя столбца в самой SQL строки, например, с string.Format:

SqlCommand command = new SqlCommand(
    string.Format("SELECT min(Score) FROM MenAthletics WHERE [{0}] < (@result);", sportEvent) 
, connect 
); 
command.Parameters.AddWithValue("@result", result); 

Убедитесь, что имя столбца не приходит из ввода пользователя, в противном случае вы бы открыть код для атак путем внедрения SQL , В случае, если имя столбца поступает от ввода пользователя, вы можете проверить строку на список доступных столбцов таблицы, которые могут быть сделаны статически или путем изучения структуры вашей таблицы во время выполнения.

Answer 3

Это потому, что значение в строке sportEvent, которое вы передаете как параметр, не соответствует фактическому столбцу, существующему в вашей таблице базы данных.

Удостоверьтесь, что оба они соответствуют, и тогда только эта ошибка пойдет.

В противном случае не передайте имя столбца таблицы в качестве параметра, непосредственно напишите его в запросе и пусть его значение столбца будет параметром.

Надеюсь, это поможет.

Answer 4

Вы не можете использовать имя столбца в качестве параметра; вы должны рассмотреть вместо построения ваш запрос таким образом:

SqlCommand command = 
     new SqlCommand(
     String.Format(@"SELECT min(Score) 
         FROM MenAthletics WHERE [{0}] < @result;",  
         sportEvent), 
         connect); 
command.Parameters.AddWithValue("@result", result); 

Этот вид SQL называется «динамический SQL» и может быть эффективным способом построения запросов на лету.

Однако, есть pitfalls. Помимо проверки ввода пользователя, также убедитесь, что пользователь, которого вы подключаете к базе данных, имеет только достаточные разрешения для выполнения действий, которые вы хотите выполнить.

Другой подход, который менее изящный, но может быть помещен непосредственно в хранимую процедуру, заключается в использовании оператора CASE;

Например:

SELECT min(Score) 
FROM MenAthletics 
WHERE 
    CASE 
     WHEN @sportEvent = 'SomeColumnName' THEN SomeColumnName 
     WHEN @sportEvent = 'SomeColumnName2' THEN SomeColumnName2 
    END < @result; 

Это становится очень утомительным, как создавать и поддерживать на больших таблицах. Преимущество заключается в том, что запрос не является динамическим.