access带参数的数据库查询问题，急！！！急！！！

Question

xysql = string.Fromat("select * from xiaoyou where xy_name='{0}'",xyname);
另外最好使用参数形式,这样的sql语句存在sql注入问题

Answer 1

xysql = "select * from xiaoyou where xy_name="+xyname;
===================================================
xysql = "select * from xiaoyou where xy_name='" + xyname + "'";

Answer 2

如果不是数字类型不能="+xyname；
要用='"+xyname+"'";

Answer 3

xysql = "select * from xiaoyou where xy_name@xy_name";
OleDbCommand xycmd = new OleDbCommand (xysql,conn);
xycmd.Parameters.Add("@xy_name", OleDbType.VarChar, xyname);

Answer 4

xysql = "select * from xiaoyou where xy_name='" + xyname + "'";

Answer 5

string xysql = "select * from xiaoyou where xy_name='"+xyname+"'";
xyname不是数字型的话是不能那样写的,否则会取不到值的