asp.net - 在 SQL 参数中转义用户输入

Question

我在声明中有以下WHERE条件SELECT：

WHERE ('.' + column_name LIKE @prefix))

并且@prefix参数设置如下：

cmd.Parameters.AddWithValue("@prefix", "%[^a-z]" & prefix & "%")

该prefix变量取自表单输入。

我遇到的问题是当用户输入“%”或“[”或其他特殊字符时。如何确保这些被转义而不是被视为特殊字符？

相关：通常，您如何阻止人们在输入中输入“％”并将其视为通配符？

Answer 1

SQL 的LIKE运算符提供了一个可选ESCAPE子句：

match_expression [ NOT ] LIKE pattern [ ESCAPE escape_character ]

您可以将转义字符设置为您喜欢的单个字符，并使用它转义元字符。