カスタムSQLパラメータ - C＃

Question

私は、GridViewのカスタムSQL文で

SELECT 
    [ItemID], [Name], [RelDate], [Price], [Status] 
FROM 
    [item_k] 
WHERE 
    [ItemID] IN (" + itemIDs + ") 

を次のSQLクエリを置くと、それが変換されます、

SELECT 
    ItemID, Name, RelDate, Price, Status 
FROM 
    item_k 
WHERE 
    (ItemID IN ([ + itemIDs + ])) 

とIクエリを実行すると、次のエラーが表示されます。

SQL Execution Error 
Invalid column name '+ itemIDs+' 

何が問題だと思われますか？

ありがとう

Answer 1

一重引用符で囲みましたか？

Answer 2

文字列concatメソッドの問題は、SQLインジェクションに脆弱になる可能性があることです。私はこのアプローチを修正しようとはしませんが、文字列の連結を必要としないパラメータ化されたクエリを実行します。

Answer 3

SELECT [ItemID], [Name], [RelDate], [Price], [Status] FROM [item_k] WHERE [ItemID] IN (' + itemIDs + ') 

は」に「変更し、それは働いた！