真的是一个简单的问题，我有两个变量“one_hour_ago”和“current_time”，我需要在我的sql命令中传递这两个变量，例如：
string commandString = "SELECT * from myTable where time between one_hour_ago and current_time";
这是我所拥有的，但出现语法错误
string commandString = "SELECT * from myTable where TS between ' and /" + one_hour_ago + "'" + current_time + "/";
谢谢
string sqlString = "SELECT * FROM myTable WHERE time BETWEEN @before AND @current_time";
SqlCommand oCmd = new SqlCommand(sqlString , connString);
oCmd.Parameters.AddWithValue("@before", date_before);
oCmd.Parameters.AddWithValue("@current_time", currentTime);
wheredate_before和currentTime是您传递给方法的参数。
这应该处理sql注入的东西
create procedure Proc_name (@param1 varchar(100),
@param2 varchar(100),
@param3 varchar(100),
@param4 varchar(100))
as
insert into table1 values(@param1, @param2, @param3, @param4)
然后从您的代码中（使用 ADO.NET 给出 ac# 示例）
using (SqlConnection connection = new SqlConnection(connectionString))
{
// Create the command and set its properties.
SqlCommand command = new SqlCommand();
SqlCommand command = new SqlCommand
("Proc_name", connection);
command.CommandType = CommandType.StoredProcedure;
// Add the input parameters and set the properties.
SqlParameter parameter1 = new SqlParameter();
parameter.ParameterName = "@Param1";
parameter.SqlDbType = SqlDbType.NVarChar;
parameter.Direction = ParameterDirection.Input;
parameter.Value = param1;
SqlParameter parameter2 = new SqlParameter();
parameter.ParameterName = "@Param2";
parameter.SqlDbType = SqlDbType.NVarChar;
parameter.Direction = ParameterDirection.Input;
parameter.Value = param2;
// Add the parameter to the Parameters collection.
command.Parameters.Add(parameter1);
command.Parameters.Add(parameter2);
// Open the connection and execute the reader.
connection.Open();
SqlDataReader reader = command.ExecuteNonQuery();
reader.Close();
}
string commandString = "SELECT * FROM myTable WHERE time BETWEEN '" + one_hour_ago + "' AND '" + current_time + "'";
编辑：这正是 OP明确要求的，要获得更好（正确）的答案，请查看 Jane Doe 的...
编辑 2：对于那些对我投反对票的无知者，“one_hour_ago”和“current_time”显然不是用户输入的字符串（而是他自己的DateTime变量），并且在任何情况下都可以在使用它们之前简单地做到完全万无一失TryParse（而且sql参数在这方面也做了所有的事情，没有额外的魔力）。现在，字符串连接 sql cmd是错误的，但我没有建议，我只是纠正了他自己的方法。而且我本可以警告他有关 sql 注入的问题，但是看到他在简单的字符串操作方面遇到了问题，我只是判断它是最少的他的问题（现在），并认为这只会让他更加困惑。