0

我必须根据datalist control以 find frined 形式插入的值绑定。这是我的代码:

protected void search_Click(object sender, EventArgs e)
    {
SqlConnection cn = new SqlConnection(@"Data Source=.\SQLEXPRESS;AttachDbFilename=C:\Users\Mahi\Documents\Visual Studio 2010\Projects\fc 6-4\fc\App_Data\fc.mdf;Integrated Security=True;User Instance=True");

        cn.Open();

        string str = "select unm='" + funm_txt.Text  + "' , university='" + DDLuni.SelectedItem + "', city='"+ DDLcity .SelectedItem +"' , yjoin='" + DDLyjoin.SelectedValue + "' ,yleave= '" + DDLycom.SelectedValue + "', ybatch='" + DDLbtch.SelectedValue + "' from profile";

        SqlCommand cmd = new SqlCommand(str, cn);
        cmd.ExecuteNonQuery();
        SqlDataAdapter da = new SqlDataAdapter(str, cn);
        DataTable dt = new DataTable();

        DataList1 .DataSource =dt;
        DataList1.DataBind();
        cn.Close();

    }
4

3 回答 3

1

我注意到的几件事:

-首先,您非常高兴vulnerable to sql-injection attacks,因为您将用户输入的值直接传递到数据库中。你可以avoid this by using a parameterised query

-其次,您需要过滤WHERE子句中的记录。目前,您正在将用户键入/选择的值分配到选择查询中。

- 你需要使用SelectedValue下拉列表而不是SelectedItem

- 你也可以使用using()积木到SqlConnection and DataAdapter Disposed最后。

试试这个(请根据需要替换 col1、col2 并完成分配所有参数的查询):

DataTable dt = new DataTable();
using (SqlConnection cnn = new SqlConnection("your_conn_string"))
{
   string str = "Select Col1, Col2,... From profile " +
                "Where unm = @unm and university= @uni and " +
                "..." +
                "ybatch = @ybatch";

   SqlCommand cmd = new SqlCommand(str, cnn);
   cmd.Parameters.AddWithValue("@unm",funm_txt.Text);
   cmd.Parameters.AddWithValue("@uni",DDLuni.SelectedValue);
   ...
   cmd.Parameters.AddWithValue("@ybatch",DDLbtch.SelectedValue);


   using (SqlDataAdapter adapter = new SqlDataAdapter())
   {
     adapter.SelectCommand = cmd;

     cnn.Open();
     adapter.Fill(dt);
   }
}

DataList1.DataSource =dt;
DataList1.DataBind();
于 2013-04-15T16:02:05.933 回答
0

试试这个,

    cn.Open();

    string str = "select unm='" + funm_txt.Text  + "' , university='" + DDLuni.SelectedItem + "', city='"+ DDLcity .SelectedItem +"' , yjoin='" + DDLyjoin.SelectedValue + "' ,yleave= '" + DDLycom.SelectedValue + "', ybatch='" + DDLbtch.SelectedValue + "' from profile";

    SqlDataAdapter da = new SqlDataAdapter(str, cn);
    DataTable dt = new DataTable();
    da.fill(dt);
    DataList1 .DataSource =dt;
    DataList1.DataBind();
    cn.Close();
于 2013-04-15T15:32:48.157 回答
0

添加以下代码:

SqlDataAdapterSqlCommand没有交流。

你还没有填写Datatable结果。

da.SelectCommand = cmd;
da.fill(dt);
于 2013-04-15T15:34:45.493 回答