自定义的SQL参数 - C＃

Question

当我把下面的SQL查询，

SELECT 
    [ItemID], [Name], [RelDate], [Price], [Status] 
FROM 
    [item_k] 
WHERE 
    [ItemID] IN (" + itemIDs + ") 

在GridView的自定义SQL语句

，它被转化为，

SELECT 
    ItemID, Name, RelDate, Price, Status 
FROM 
    item_k 
WHERE 
    (ItemID IN ([ + itemIDs + ])) 

，当我执行查询时显示以下错误

SQL Execution Error 
Invalid column name '+ itemIDs+' 

什么似乎是问题？

谢谢

Answer 1

你有没有尝试把+ itemIDs +单引号？

Answer 2

您的字符串concat方法的问题是它可能会让您容易受到SQL注入攻击。我不会尝试修复这种方法，但是去一个不需要字符串连接的参数化查询。

Answer 3

SELECT [ItemID], [Name], [RelDate], [Price], [Status] FROM [item_k] WHERE [ItemID] IN (' + itemIDs + ') 

改为“为”和它的工作！