別のSQLクエリステートメント

Question

OKおかげでたくさんも私を助けたが、今私はこの文は正しい取得したい別の問題を持っているすべての人

if (byNametextBox.Text != null && byBuildingtextBox.Text !=null && seTextBoxPublic1.Text == null) 
{ 
    da = new SqlDataAdapter("SELECT * FROM Students WHERE name='" +  byNametextBox.Text +"and [buil-id]='"+byBuildingtextBox.Text+ "'", MyConn); 

} 

のために私は2つの条件 と同じテーブルから選択したい下さい

Answer 1

SQLクエリでパラメータを使用するとセキュリティが向上します。

Answer 2

2つのパラメータでSqlCommandを作成する必要があるとします。 ここに投稿したコードは、SQLインジェクション攻撃に対して安全ではありません。

従ってください：

http://msdn.microsoft.com/en-us/library/ms161953.aspx

Answer 3

をあなたの質問に答えるために、しかし、あなたのコードは、SQLを作成します。

SELECT * FROM Students WHERE name='NAMEand [buil-id]='ID' 

が

SELECT * FROM Students WHERE name='NAME' and [buil-id]='ID' 

Answer 4

あるべきパラメータを使用してください！何らかの理由であなたが彼らに対してであれば、この作業をする必要があります：

string strStatement = String.Format("SELECT * FROM Students WHERE [name] = '{0}' AND [buil-id] = '{1}'", byNametextBox.Text, byBuildingtextBox.Text); 
da = new SqlDataAdapter(strStatement, MyConn); 

Answer 5

使用parameterizedクエリをSQLインジェクションを防ぐために、また、ここにいくつかの追加のコードあなたがデータテーブル移入したい場合。

SqlDataAdapter da = new SqlDataAdapter("SELECT * FROM Students WHERE name = @byName and [buil-id]= @byBuilding " , MyConn) 
          DataTable dt= new DataTable(); 
          da.SelectCommand.Parameters.AddWithValue("@byName", byNametextBox.Text); 
          da.SelectCommand.Parameters.AddWithValue("@byBuilding", byBuildingtextBox.Text); 
          da.Fill(dt);