setsqlselect()问题

[shadowoykc]

这是我的程序：
string wheresql,newsql
wheresql = "where mz_cf.blbh like ' " +sle_1.text+" ' "
newsql = wheresql

dw_1.settransobject(sqlca)
dw_1.setsqlselect(newsql)
dw_1.retrieve()
就是通过sle_1.text的内容进行查询

第一次输入数据错误提示
select error：column list do not match
然后从新输入另一数据，错误提示
select error:sqlstate= 42000
microsoft OLE DB provider for sql server 在关键字"where"附近有语法错误

不知道什么原因，大家帮我看看··

[liubocy]

String ls_Sql, ls_OldSql

ls_OldSql = dw_1.GetSQLSelect()
ls_Sql = " WHERE mz_cf.blbh like '%" + sle_1.Text + "%'"
dw_1.SetSQLSelect( ls_OldSql + ls_Sql )
dw_1.Retrieve()
dw_1.SetSQLSelect( ls_OldSql )

[ourola]

楼上正解~
补充：
防SQL注入攻击：
string wheresql,newsql
wheresql = "where mz_cf.blbh like ' " +sle_1.text+" ' "
newsql = wheresql
如果sle_1.text中的内容是[' or 1=1'],结果自己想。

[ribut9225]

string wheresql,newsql
wheresql = "where mz_cf.blbh like ' " +sle_1.text+" ' "
newsql = wheresql
dw_1.setsqlselect(newsql)

这样写肯定有问题的啊

你的newsql里的内容是："where mz_cf.blbh like ' " +sle_1.text+" ' "
这不是完整的SQL语句

偶们的做法一般是获取DW的初始的SQL语法，保存到一个实例变量中

一、定义一个实例变量： sring is_old_sql
二、在窗口的OPEN事里获取DW的初始SQL语法
is_old_sql = dw_1.GetSqlSelect() //注意，事先要给DW设置事务，才有SQL语法
三、添加自己的条件

string wheresql,newsql
wheresql = "where mz_cf.blbh like ' " +sle_1.text+" ' "
newsql = is_old_sql + wheresql //这里就是构造成带有条件的SQL语句
dw_1.setsqlselect(newsql)