数据库高手请进！！！C#中数据库语句执行问题。

[angel_xiaa]

在C#中有两个aspx文件：default.aspx和default2.aspx
现在default.aspx中拖入了一个文本框（ID为txt）和一个Button按钮
在default2.aspx中拖入了一个DataGriew控件（ID为gvTest）

点击Button按钮，现需要根据default.aspx中文本框输入的值，在default2.aspx中执行Sql语句。

使用Session传递变量

在default.aspx中的Button事件中输入如下代码：
protected void Button1_Click(object sender, EventArgs e)
{
Session["a"] = txt.Text;
Response.Redirect("Default2.aspx");
}
在default.aspx中的Page_Load事件中输入如下代码：
protected void Page_Load(object sender, EventArgs e)
{
string a=(string )Session ["a"];

SqlConnection con = new SqlConnection("Server=(local);database=ypxt;Uid=sa;Password=hexi3456");
string strSql = "select Enterprise_name,Enterprise_ph,Enterprise_email,Enterprise_date from Enterprise where Enterprise_name='&a&'";
SqlCommand com = new SqlCommand(strSql, con);
SqlDataAdapter ada = new SqlDataAdapter();
ada.SelectCommand = com;
con.Open();
DataTable table = new DataTable();
DataSet ds = new DataSet();

ada.Fill(ds, "table");
con.Close();
table = ds.Tables["table"];
this.gvTest.DataSource = table.DefaultView;
this.gvTest.DataBind();
}

请问一下，strSql中的sql查询语句Where子句中的变量a应如何使用？这样执行出来没有任何结果，也没有报错。
请各位大侠不吝赐教！！！

[angel_xiaa]

在线等啊！！！麻烦帮帮忙啊！！！

[deknight]

string strSql = "select Enterprise_name,Enterprise_ph,Enterprise_email,Enterprise_date from Enterprise where Enterprise_name='"+a+"'";

[q107770540]

string strSql = "select Enterprise_name,Enterprise_ph,Enterprise_email,Enterprise_date from Enterprise where Enterprise_name='&"+a+"&'";

[deknight]

或
string strSql = @"select Enterprise_name,Enterprise_ph,Enterprise_email,Enterprise_date from Enterprise where Enterprise_name="+a+";

[david-sui]

........

string strSql = "select Enterprise_name,Enterprise_ph,Enterprise_email,Enterprise_date from Enterprise where Enterprise_name=@a";
SqlParameter parm1=new SqlParameter("@a",a);
com.Parameters.Add(parm1);
......

[ajq1989]

code=C#]
string strSql = "select Enterprise_name,Enterprise_ph,Enterprise_email,Enterprise_date from Enterprise where Enterprise_name=@a";
SqlParameter p = new SqlParameter("@a",a);
com.Parameters.AddRange(p);[

[/code]

[angel_xiaa]

1楼的就可以了，谢谢！！！

[w3c5201314]

[Quote=引用 5 楼 suixufeng 的回复:]
........

string strSql = "select Enterprise_name,Enterprise_ph,Enterprise_email,Enterprise_date from Enterprise where Enterprise_name=@a";
SqlParameter parm1=new SqlParameter("@a",a);
com.Param……
[/Quote]
这种方式比较好，以防变量中存的是非法值
顶....

[dataadapters]

试试将SQL 语句在数据库中写成带参数的存储过程，然后在代码中调用存储过程

[angel_xiaa]

五楼的，顶！！！

长见识了......

[小橘子拔刀斩]

string strSql = "select Enterprise_name,Enterprise_ph,Enterprise_email,Enterprise_date from Enterprise where Enterprise_name=@a";
SqlParameter parm1=new SqlParameter("@a",a);
com.Parameters.Add(parm1);