如何使用佔位符作爲SQL參數傳遞列名值

Question

如何使用參數佔位符將列名稱值作爲SQL參數傳遞？

的目標是有這個工作：

var sql = "SELECT * FROM Condos WHERE @0 LIKE @1"; 
var sqlData = db.Query(sql,choice,"%"+searchString+"%"); 

choice是將存儲column name

@0是column name（我沒有成功，以它作爲參數傳遞）

變量

@1是一個​​（我沒有問題）

已經閱讀並嘗試了很多東西：

下面一個不拋出任何錯誤，但不會帶來任何數據

var sql = "SELECT * FROM Condos WHERE @0 LIKE @1"; 
var sqlData = db.Query(sql,choice,"%"+searchString+"%"); 

下面一個拋出Column name not valid = '@0'

var sql = "SELECT * FROM Condos WHERE [@0] LIKE @1" 
var sqlData = db.Query(sql,choice,"%"+searchString+"%"); 

下面一個投球Column name not valid = 'choice'

var sql "SELECT * FROM Condos WHERE choice LIKE @0"); 
var sqlData = db.Query(sql,"%"+searchString+"%"); 

be低一個拋出Must declare scalar variable "@choice"

var sql "SELECT * FROM Condos WHERE @choice LIKE @0"); 
var sqlData = db.Query(sql,"%"+searchString+"%"); 

下面一個不拋出任何錯誤，但不會帶來任何數據

var sql = "SELECT * FROM Condos WHERE '@choice' LIKE @0"; 
var sqlData = db.Query(sql,"%"+searchString+"%"); 

下面一個不拋出任何錯誤，但不會帶來任何數據

var sql = "SELECT * FROM Condos WHERE '@choice' LIKE @0"; 
var sqlData = db.Query(sql,"%"+searchString+"%"); 

下面一個不拋出任何錯誤，但不會帶來任何數據

var sql = "SELECT * FROM Condos WHERE '"+choice+"' LIKE @0"; 
var sqlData = db.Query(sql,"%"+searchString+"%"); 

以下之一：BIG CRASH

var sql = "SELECT * FROM Condos WHERE '"+@choice+"' LIKE @0"; 
var sqlData = db.Query(sql,"%"+searchString+"%"); 

下面一個拋出Column name not valid = 'NameShort'

這恰恰是正確的列名

var sql = "SELECT * FROM Condos WHERE ['"+choice+"'] LIKE @0"; 
var sqlData = db.Query(sql,"%"+searchString+"%"); 

以下之一：BIG CRASH

var sql = "SELECT * FROM Condos WHERE ['"+@choice+"'] LIKE @0"; 
var sqlData = db.Query(sql,"%"+searchString+"%"); 

幫助!!!!!!!!!!!!!!

Answer 1

簡短的回答是，你不能;參數僅支持值，而不支持列名稱。

正如Richard所說的（無論是在代碼中還是通過使用SQL Server exec（）函數）或者使用某種類型的庫（如LINQ），您必須回退直接插入文本可讓您動態構建查詢，然後將其轉換爲文本表示。

如果你走直接文本插入路線，要非常確定你不允許直接插入用戶輸入;自己做一些翻譯以避免SQL注入攻擊。

Answer 2

我看你已經嘗試過什麼，你剛剛離開了明顯的：

var sql = "SELECT * FROM Condos WHERE " + choice + " LIKE @1"; 
var sqlData = db.Query(sql,choice,"%"+searchString+"%"); 

你需要躲避列名的唯一原因是當它是一個保留字，如Order。在這種情況下，您將需要使用特定於數據庫的標識符轉義字符。

例如，MySQL的：

var sql = "SELECT * FROM Condos WHERE `" + choice + "` LIKE @1"; 
var sqlData = db.Query(sql,choice,"%"+searchString+"%"); 

SQL服務器

var sql = "SELECT * FROM Condos WHERE [" + choice + "] LIKE @1"; 
var sqlData = db.Query(sql,choice,"%"+searchString+"%");