1
SqlCommand SelectDannieComand = 
    new SqlCommand("SELECT name FROM tableName WHERE Id > 15", sqlConnection);

Как вставить в этот запрос вместо tableName и name переменную?

2
  • 1
    Скажите, а вы основы языка C# знаете? Мне кажется, что рань вам еще лезть в такие дебри - как база данных... Ну а вообще, самое элементарное - "Часть текста " + переменная + "часть текста" или если используете новые версии C#, то $"Часть текста {переменная} часть текста".
    – EvgeniyZ
    12 мая 2018 в 11:22
  • 2
    Думаю, так же следует заметить, что вы не должны "слепо" передавать эти переменные в запрос, полученные от пользователя. Это уязвимость системы.
    – Vein
    12 мая 2018 в 11:58

1 ответ 1

2

Насколько я знаю, для названия таблицы не получится использовать Parameters.AddWithValue, так что, что-то такое:

var tableName = "MyTable";
var columnName = "Name";   
SqlCommand cmd = new SqlCommand(string.Format("SELECT {0} FROM {1} WHERE Id > 15", columnName, tableName));
3
  • 1
    вы правы, параметризовать такое явно не получится, альтернатива разве что хранимка с параметрами и динамический SQL внутри, но это по сути то же самое с теми же недостатками, так что предварительная валидация значений на вызывающей стороне необходима.
    – rdorn
    12 мая 2018 в 22:51
  • @rdorn ну тут таблица и колонка, я так понял, что эти вещи не от пользователя приходят. Если от юзеров, то да, надо экранировать. 12 мая 2018 в 22:56
  • программисты иногда хуже пользователей, так что экранировать лучше от всех =)
    – rdorn
    12 мая 2018 в 22:57

Ваш ответ

Нажимая на кнопку «Отправить ответ», вы соглашаетесь с нашими пользовательским соглашением, политикой конфиденциальности и политикой о куки

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.