Come utilizzare il parametro con LIKE in Sql Server Compact Edition

Question

Sto provando a parametrizzare una query di ricerca che utilizza la parola chiave LIKE con un carattere jolly. Lo sql originale ha SQL dinamico come questo:

"AND JOB_POSTCODE LIKE '" + isPostCode + "%' " 

Così ho provato questo posto, ma ho un FormatException:

"AND JOB_POSTCODE LIKE @postcode + '%' " 

Edit: Credo che il FormatException non sta per essere venuta da Sql Server CE, così come richiesto, ecco come ho impostato il parametro nel mio codice C#. Il parametro è impostato in codice come questo:

command.Parameters.Add("@postcode", SqlDbType.NVarChar).Value = isPostCode; 

Ho anche provato:

"AND JOB_POSTCODE LIKE @postcode" 

con

command.Parameters.Add("@postcode", SqlDbType.NVarChar).Value = isPostCode + "%"; 

ma che non restituisce alcun risultato. Qualcuno può consigliare come utilizzare i parametri in questa ricerca sql?

Answer 1

La risposta breve è che è necessario inserire il carattere jolly nel valore del parametro, non nel CommandText. cioè

non

che: sqlCommand.CommandText = "SELECT * FROM JOB WHERE JOB_POSTCODE LIKE @postcode%"

questo:

sqlCommand.CommandText = "SELECT * FROM JOB WHERE JOB_POSTCODE LIKE @postcode"; 
sqlCommand.Parameters.Add("@postcode", SqlDbType.NVarChar).Value = postCode + "%"; 

Risposta lunga qui:

sono tornato e messo a nudo il mio codice verso il basso per gli elementi essenziali in modo che potessi postare qui, e mentre lo facevo ho scoperto che l'ultimo metodo che ho provato nella mia domanda originale funziona davvero. Deve essere stato qualcosa di sbagliato nei miei test. Quindi, ecco una sintesi, con il codice che è stato eseguito:

SQL dinamico originale, vulnerabile a SQL injection:

//Dynamic sql works, returns 2 results as expected, 
//but I want to use parameters to protect against sql injection 

string postCode = "G20"; 
sqlCommand.CommandText = "SELECT * FROM JOB WHERE JOB_POSTCODE LIKE '" 
         + postCode + "%'"; 
return Database.fGetDataSet(sqlCommand, 
          iiStartRecord, 
          iiMaxRecords, 
          "JOBVISIT"); 

Primo tentativo di utilizzare il parametro dà un errore:

//This syntax with a parameter gives me an error 
//(note that I've added the NVarChar length as suggested: 
//System.FormatException : @postcode : G20 - 
//Input string was not in a correct format. 
//at System.Data.SqlServerCe.SqlCeCommand.FillParameterDataBindings() 
//at System.Data.SqlServerCe.SqlCeCommand.ExecuteCommandText(IntPtr& pCursor, 
// Boolean& isBaseTableCursor) 

string postCode = "G20"; 
sqlCommand.CommandText = "SELECT * FROM JOB WHERE JOB_POSTCODE LIKE @postcode 
         + '%'"; 
sqlCommand.Parameters.Add("@postcode", 
          SqlDbType.NVarChar, 
          10).Value = postCode; 
return Database.fGetDataSet(sqlCommand, iiStartRecord, iiMaxRecords, "JOBVISIT"); 

La seconda tecnica funziona effettivamente:

///This syntax with a parameter works, returns 2 results as expected 
string postCode = "G20"; 
sqlCommand.CommandText = "SELECT * FROM JOB WHERE JOB_POSTCODE LIKE @postcode"; 
sqlCommand.Parameters.Add("@postcode", SqlDbType.NVarChar).Value = postCode 
                    + "%"; 
return Database.fGetDataSet(sqlCommand, iiStartRecord, iiMaxRecords, "JOBVISIT"); 

Grazie per tutti gli input, e mi dispiace per la domanda fuorviante originale ...

Answer 2

Uso:

"AND JOB_POSTCODE LIKE '" + isPostCode + "%' " 

... significa che la stringa è costruito prima di essere appiccicato SQL dinamico. Questo è così che non è necessario specificare il parametro nella lista dei parametri per sp_executesql/EXEC, mentre questo:

"AND JOB_POSTCODE LIKE @postcode + '%' " 

... fa. Si prega di inviare più della query.

Answer 3

Inserisci l'esempio completo (incluso il codice client esterno in cui stai assemblando la chiamata). La seconda e la terza opzione dovrebbero funzionare se si passa il parametro correttamente. Stai chiamando questo in una stored procedure o SQL parametrizzato in linea?

I non si assumono alcuna SP dato che ho appena visto che si sta utilizzando CE ...

Credo che avete bisogno di add a length to your .Add call dal momento che è un nvarchar.

Answer 4

Questo restituisce i risultati appropriati in SQL Server 05 (funziona anche in un SP), quindi sembra che l'ultima cosa che hai provato avrebbe dovuto funzionare. Ma non ho un banco di prova per Compact Edition, quindi forse questo fa la differenza (sarei curioso di vedere se è così, e perché).

declare @p1 nvarchar(50) 
set @p1 = 'f'   -- initial value passed from your app 
set @p1 = @p1 + '%' -- edit value for use with LIKE 
select * from JOB 
where JOB_POSTCODE like @p1 

EDIT:

Quale versione di SQLCE stai usando? Puoi dire se i valori dei parametri sono effettivamente passati dal tuo codice al DB? Ho sfogliato this MSDN tutorial e sono riuscito a ottenere i risultati che stai cercando, almeno da Visual Studio Query Designer. (l'unica differenza è che sto usando VS 2008 e SQL Server Compact 3.5). Vedere la sezione intitolata "Creazione di una nuova query"; Ho preso in giro un tavolo con alcuni dati e questa query ha funzionato come volevi.

SELECT  JobID, PostCode, OtherValue 
FROM   Job 
WHERE  (PostCode LIKE @p1 + '%') 

Come ho detto, non ho scritto alcun codice per chiamare la query, ma ha funzionato all'interno del designer. In altre parole, "funziona sulla mia macchina".

Answer 5

tua risposta è:

"AND JOB_POSTCODE LIKE '' + @postcode + '%' " 

e il parametro:

command.Parameters.Add("@postcode", SqlDbType.NVarChar).Value = isPostCode;