C＃でパラメータのクエリを構築するSQL - LIKE％

Question

LIKE %%コマンドを含むクエリのC＃でパラメータクエリのSQLを作成しようとしています。ここで

は私がacheiveしようとしているものです（データベースが火の鳥であることに注意してください）

var SQL = string.format("SELECT * FROM {0} WHERE {1} LIKE '%?%'", TABLE, NAME); 
cmd.Parameters.AddWithValue(NAME, "JOHN"); 

今私は、私が試してみました、パラメータが仕事を得るためにすべての単一の順列を試してみました。

• 追加パラメータに%文字、

  cmd.Parameters.AddWithValue(NAME, "%" + "JOHN" + "%"); 
  

• または

  cmd.Parameters.AddWithValue(NAME, "'%" + "JOHN" + "%'"); 
  

  私は、パラメータを使用することができますどのように私はこの仕事を得るように見えることはできません

、 LIKEクエリが機能します。

提案は大歓迎です！

Answer 1

クエリ内の文字列リテラル内にパラメータを設定することはできません。全体の値にパラメータを作成し、文字列にワイルドカードを追加します。

var SQL = string.format("SELECT * FROM {0} WHERE {1} LIKE ?", TABLE, NAME); 
Cmd.Parameters.AddWithValue(NAME, "%" + "JOHN" + "%"); 

Answer 2

過去にこれを実行していたとき、私は単純にSQLに統合しました.SQLインジェクションに対処するために、単一引用符を疑問符に置き換えています。例：

var SQL = string.format("SELECT * FROM {0} WHERE {1} LIKE '%{2}%'", 
    TABLE, 
    NAME, 
    JOHN.Replace("'","?")); 

Answer 3

var SQL = string.Format("SELECT * FROM {0} WHERE {1} LIKE '%' + ? + '%'", TABLE, NAME); 
Cmd.CommandText = SQL; 
Cmd.Parameters.Add("?", SqlDbType.VarChar, 50).Value = "JOHN";