Goran Bibic Ответов: 1

Поиск из текстового поля C#

Some help
 
Need to search from text box multiple column for column a.radnik work
How to search multiple column?
a.naziv
a.mesto 
 
I try add 
 
saveStaff += " AND a.radnik LIKE \'%" + textBox1.Text + "%\' "; 
 
add this
 
saveStaff += " AND a.naziv LIKE \'%" + textBox1.Text + "%\' ";
saveStaff += " AND a.mesto LIKE \'%" + textBox1.Text + "%\' "; 
 
But dont work
 
 
Some help please


Что я уже пробовал:

private void radni_sati2()  
       {  
  
string saveStaff = "SELECT a.IdPrijava, a.redni_broj , a.radnik, a.naziv, a.mesto from dbo.radnic";  
  
f (!string.IsNullOrEmpty(textBox1.Text))  
               {  
                   saveStaff += " AND a.radnik LIKE \'%" + textBox1.Text + "%\' ";  
                     
  
               }  
  
...rest of code....  
  
}

1 Ответов

Рейтинг:
9

OriginalGriff

Две вещи:
1) и, вероятно, это ваша проблема: он возвращает значения, где оба предложения истинны. Вероятно, вы хотите или который возвращает значения, когда одно из предложений истинно.

2) это подозрительно похоже на команду SQL, и это плохой способ сделать это. Никогда не объединяйте строки для построения команды SQL. Это оставляет вас широко открытыми для случайной или преднамеренной атаки SQL-инъекции, которая может уничтожить всю вашу базу данных. Вместо этого всегда используйте параметризованные запросы.

Когда вы объединяете строки, вы вызываете проблемы, потому что SQL получает такие команды, как:

SELECT * FROM MyTable WHERE StreetAddress = 'Baker's Wood'
Цитата, добавленная пользователем, завершает строку в том, что касается SQL, и вы получаете проблемы. Но могло быть и хуже. Если я приду и наберу вместо этого: "x';DROP TABLE MyTable;--", то SQL получит совсем другую команду:
SELECT * FROM MyTable WHERE StreetAddress = 'x';DROP TABLE MyTable;--'
Которые SQL видит как три отдельные команды:
SELECT * FROM MyTable WHERE StreetAddress = 'x';
Совершенно правильный выбор
DROP TABLE MyTable;
Вполне допустимая команда "удалить таблицу" 
--'
А все остальное-это комментарии.
Так оно и происходит: выбирает любые совпадающие строки, удаляет таблицу из базы данных и игнорирует все остальное.

Поэтому всегда используйте параметризованные запросы! Или будьте готовы часто восстанавливать свою БД из резервной копии. Вы ведь регулярно делаете резервные копии, не так ли?