在SQL查詢中使用C＃變量

Question

我對此很新。可能有一些明顯我完全缺少的，但是......

當進行SQL查詢（ASP.NET與C＃）我能得到這個：

var query = db.Query("SELECT * FROM pageinfo WHERE pageID = 1"); 

來工作的，但這樣的：

var pageID=1; 
var query = db.Query("SELECT * FROM pageinfo WHERE pageID = @pageID"); 

沒有。

基本上，我想要做的就是在查詢中放置一個變量。有這種特殊的語法嗎？

謝謝。

Answer 1

是否有一些特殊的語法來做到這一點？

是的，使用SQLParameter。

喜歡的東西：

SqlCommand cmd = new SqlCommand("SELECT * FROM pageinfo WHERE pageID = @pageID"); 
cmd.Parameters.AddWithValue("@pageID", 2); 

你db.Query似乎是自己的實現當前的方法。您可以重載該方法以接收SqlParameter的列表，然後將這些參數添加到您的命令中。這會阻止你從SQL Injection

Answer 2

var pageID=1; 
var query = db.Query("SELECT * FROM pageinfo WHERE pageID = '"+ PAGEid +"');