有条件查询的SQL语句，条件是session变量

[ywz_1989]

从sql server库里查询出选定条件的记录，条件是session变量
Session["UserName"]=ST_read[0].ToString();
..........
sql="select * from user where name='Session["UserName"]'"
这句应该怎么写呢？

请前辈们指教一下。。。。

[brallow]

sql = string.Format("select * from user where name='{0}'",Session["UserName"]);

[wihtsky]

sql="select * from user where name='"+Session["UserName"]+"'" 

这样拼接就可以了

[brallow]

上面是C#生成SQL的语句，生成的SQL应该类似于：

select * from user where name='某一个用户名'

[january03]

先把Session["UserName"]赋值到一个字符串，然后再拼串

[greatverve]

"'"+Session{"UserName"].ToString+"'"

[hongqi162]

sql="select * from user where name='"+Session["UserName"].ToString+"'"

[liyachi]

sql = "select * from user where name = '"+Session["UserName"].Tostring()+"'";

[yangpeiyu]

sql="select * from user where name='"+Session["UserName"]+"'"

[JeffChung]

用1楼的,比较不容易错

[wihtsky]

[Quote=引用 2 楼 wihtsky 的回复:]
C# code
sql="select * from user where name='"+Session["UserName"]+"'"



这样拼接就可以了
[/Quote]
不好意思 Session["UserName"] 忘了加 .tostring();

[gjfizx]

楼上都说了

[海洋齐齐]

凑凑热闹，说的人太多了

[simon12528]

用拼接不好啊 拼接是可以被破解的
系统资料被盗 那你就爽了
支持1楼的用法

[zfflx]

该重构了

[amandag]

sql="select * from [user] where name = @name";
SqlConnection cn = new SqlConnection(@"server=.\sqlexpress;uid=sa;pwd=;database=yourdatabase");
SqlCommand cmd = new SqlCommand(sql, cn);
//前面一定要判断Session["UserName"]不为null
cmd.Parameters.AddWithValue("@name", Session["UserName"].ToString());

[hamehameha]

都说了~~~~~

[namhyuk]

SessionParameter

[萱哥老了]

8错啊 以上答案楼主可以酌情考虑

[zp0340533]

sql="select * from user where name='"+Session["UserName"].ToString+"'"

[以专业开发人员为伍]

如果你不去对单引号替换为两个单引号，那么我会敲打你的头的，但从这个代码看，不去处理单引号问题，那是质量低劣的代码。