sql参数写法

Question

string sql="select * from news @where"；            SqlParameter[] parameter ={
                                     new SqlParameter("@where",SqlDbType.NVarChar,255),
                                     };
            parameter[0].Value = " where title like '%aa%' ";
这句咋写啊。  主要是防止传来的where不安全

Answer 1

一般是这样
parameter[0].Value = " where title like '%" + xx + "%' ";

Answer 2

不是啊   string sql="select * from news @where"；  这句对么  我好像报错啊 @where 

Answer 3

string sql="select * from news @where"； 能不能这么写啊

Answer 4

string sql="select * from news @where"； 能不能这么写啊
不能这么写的，C#里正确的写法：string sql="select * from news " + @where + "" ； 

Answer 5

string sql="select * from news where title like '% + @t+ %'"；SqlParameter[] parameter ={
new SqlParameter("@t",SqlDbType.NVarChar,255),
};
parameter[0].Value = "";

Answer 6

因为传递的参数中已经有了where部分   “where title like '%aa%'”   所以该如何构造呢

Answer 7

8楼正确。传递的只能是“参数”，而不能是“SQL语句”。