1

As queries em meu projeto C# Winforms estão sendo realizadas através de StringBuilder. Foi sugerido aqui no SO que eu alterasse a forma de gerar a query de Consulta.Append("Select * from...") para @"select * from..." por ser algo redundante. Segue abaixo um fragmento do código após a alteração:

string Consulta = @"select nome as Nome,  
       endereco as Endereço,
       telefone as Telefone,
       dataCadastro as [Data de Cadastro]
    From clientes
       where dataCadastro='"+ Convert.toString(dePeriodo.Text) +"'
       and status<>0";
foreach (DataRow iRow in Dados.SQLData.dsData(Consulta).Tables[0].Rows)
  {
     //restante aqui
  }

Acontece que ao utilizar o método informado não é possível concatenar o parâmetro do componente DateEdit (dePeriodo) pois as aspas duplas que está em ...dataCadastro='"+ dePeriodo..., qual abre a concatenação, na verdade está fechando a query. Como devo proceder para concatenar o valor do componente com a query sem ocasionar este erro?

1
  • Alguma das respostas resolveu sua dúvida? Acha que pode aceitar uma delas? Veja o tour como fazer isso, se ainda não o fez. Você ajudaria a comunidade identificando qual foi a melhor solução para você. Pode aceitar apenas uma delas. Mas pode votar em qualquer pergunta ou resposta que achar útil no site todo.
    – Maniero
    Commented 2/11/2018 às 3:44

3 Respostas 3

4

Imaginando que está usando um Command o correto é fazer isto:

comando.CommandText = @"select nome as Nome,  
        endereco as Endereço,
        telefone as Telefone,
        dataCadastro as [Data de Cadastro]
    from clientes
    where dataCadastro = @Periodo and status<>'0'";
comando.Parameters.Add("@Periodo", OleDbType.VarChar, 10).Value = dePeriodo.Text;

Coloquei no GitHub para referência futura.

Não posso garantir que seja exatamente isto porque não tenho todas informações necessárias, mas é mais ou menos isso.

Ou poderia ser isto:

comando.Parameters.Add(new SqlParameter("@Periodo", dePeriodo.Text));

Se não fizer desta forma terá problema de segurança por injeção de SQL, um problema que deve afetar uns 90% dos sites porque hoje a maioria das pessoas não aprendem antes de fazer. Não use a interpolação de string como mostrada na outra resposta. Um exemplo mais completo em Alguma solução do ASP.NET MVC para injeção SQL?.

2
  • @Manieiro, mesmo para preencher um DataSet ?
    – Moisolas
    Commented 31/10/2018 às 16:02
  • Qualquer consulta ao banco de dados que tenha parâmteros.
    – Maniero
    Commented 31/10/2018 às 19:46
0

Só tirar as aspas simples do 0 (zero).

string Consulta = @"select nome as Nome,  
   endereco as Endereço,
   telefone as Telefone,
   dataCadastro as [Data de Cadastro]
From clientes
   where dataCadastro='"+ Convert.toString(dePeriodo.Text) +"'
   and status<> 0 ";

foreach (DataRow iRow in Dados.SQLData.dsData(Consulta).Tables[0].Rows)
{
   //restante aqui
}
1
  • Bem observado Marcelo, mas na verdade esse foi um erro de cópia meu... eu simplifiquei a consulta pq a original tem 78 linhas
    – Moisolas
    Commented 31/10/2018 às 17:38
0

Se você estiver utilizando o Framework core, mais recente poderá fazer assim:

string Consulta = $@"select nome as Nome,  
           endereco as Endereço,
           telefone as Telefone,
           dataCadastro as [Data de Cadastro]
        From clientes
           where dataCadastro='{Convert.toString(dePeriodo.Text)}'
           and status<> 0 ";

        foreach (DataRow iRow in Dados.SQLData.dsData(Consulta).Tables[0].Rows)
        {
            //restante aqui
        }

A concatenação acontece como o string.format.

O caso que para evitar SQL Injection, deve-se fazer como o Maniero disse mesmo. É a forma mais segura de se trabalhar.

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .