Как использовать LIKE% для двух или более полей с OR в C#

Question

Я не мог найти ответ на свою проблему, поэтому мне пришлось задать новый вопрос. А именно, я хотел бы спросить вас, как использовать значение LIKE + из текстового поля + с% - подстановочные знаки (отсутствующие буквы), но для двух или более полей. Когда я использую ниже код для одной области он работает (и я могу найти в моем DB EG все FirstNames, который начинается с «А»):

"SELECT * FROM customer WHERE FirstName LIKE '"+TextBox1.Text + '%'+ "'"; 

Но когда я пытаюсь использовать его для двух полей, это не работает (а й я не могу найти в моей БД, например, любые FirstNames или LastNames, который начинается с «R» Я не получал никаких ошибок просто ничего не произойдет..):

"SELECT * FROM customer WHERE FirstName LIKE '"+TextBox1.Text + '%'+ "' OR LastName LIKE '" +TextBox2.Text + '%'+"'"; 

Спасибо вы заранее за любые советы.

Answer 1

Вы не должны создавать свои запросы путем конкатенации строк, иначе вы будете подвергать ваше приложение SQL Injection. Лучше использовать команду с параметрами - это также поможет вам не много думать о стирании строки, что, вероятно, вызывает вашу текущую проблему.

using (SqlCommand cmd = new SqlCommand()) 
using (SqlConnection conn = new SqlConnection("connectionString")) 
{ 
     cmd.CommandText = "SELECT * FROM customer WHERE FirstName LIKE @first OR LastName LIKE @second"; 
     cmd.Parameters.Add(new SqlParameter("first", SqlDbType.NVarChar, 255).Value = "%" + TextBox1.Text + "%"); 
     cmd.Parameters.Add(new SqlParameter("second", SqlDbType.NVarChar, 255).Value = "%" + TextBox2.Text + "%"); 
     // todo: execute 
} 

Можно также проверить, что запрос в настоящее время вы создаете в вашем приложении (просто установить точку останова перед выполнением или просто войти его где-нибудь в файл ЭФ) возвращает результаты, которые вы могли бы ожидать в случае, если вы хотите выполнить его непосредственно на сервере. Это может помочь вам изучить еще несколько проблем.

Answer 2

Это лучшая практика для первого присвоить значения текстового поля для строковых переменных затем использовать их, как показано ниже

String Firsttext = TextBox1.Text; 
String SecondText = TextBox2.Text; 

Затем вы можете использовать его следующим образ

"SELECT * FROM customer WHERE FirstName LIKE '"+ Firsttext + "%" + "' OR LastName LIKE '" +SecondText + "%"+"'"; 

Answer 3

Я вижу, как @Jaroslav Кадльки являются делая это, он не ошибается, но у него есть одна проблема. Он использует лишенный метод. Для того, чтобы добавить Счетчики есть новый метод:

using (SqlConnection conn = new SqlConnection("connectionString")){ 
conn.Open(); 
using (SqlCommand cmd = new SqlCommand()) 
{ 
    cmd.CommandText = "SELECT * FROM customer WHERE FirstName LIKE @first OR LastName LIKE @second"; 
    cmd.Parameters.AddWithValue("@first", TextBox1.Text + "%"); 
    cmd.Parameters.AddWithValue("@second", TextBox2.Text + "%"); 
}} 

Answer 4

Если у вас динамический ряд маркеров, один извилистый путь, чтобы сделать вашу задачу является определение временной таблицы и присоединиться к ней:

using (var conn = new SqlConnection(connectionStr)) 
{ 
    conn.Open(); 
    using (var cmd = conn.CreateCommand()) 
    { 
     var querySb = new StringBuilder(@" 
      CREATE TABLE #temp (Token NVARCHAR(20) NOT NULL)"); 

     //tokensArray will contain texts from your text boxes 
     for (int i = 0; i < tokensArray.Length; i ++) 
     { 
      querySb.Append($"INSERT INTO #temp VALUES(@p{i})"); 

      // parameterized query, to protect against SQL injection (input is coming from user) 
      cmd.Parameters.AddWithValue($"@p{i}", $"%{token}%"); 
     } 

     cmd.CommandType = CommandType.Text; 
     cmd.CommandText = querySb.ToString(); 

     querySb.Append(@"; 
SELECT C.* 
FROM customer C 
    JOIN #temp T ON C.FirstName LIKE T.Token"; 

     // execute stuff 
    } 
} 

Вы также можете рассмотреть отправку токенов в конкатенированной строке и использовать хранимую процедуру для их разбиения и фильтрации в T-SQL.

Кредит отправляется на this answer.