C# konstruowania zapytań SQL parametr - LIKE%

Question

Staram się budować zapytania SQL za pomocą parametru w C# dla kwerendy, która będzie zawierać komendę LIKE %%.

Oto co usiłuję acheive (proszę pamiętać, że baza danych jest Firebird)

var SQL = string.format("SELECT * FROM {0} WHERE {1} LIKE '%?%'", TABLE, NAME); 
cmd.Parameters.AddWithValue(NAME, "JOHN"); 

Teraz próbowałem każdy permutacji uzyskać parametr do pracy, próbowałem;

• Dodawanie % znak parametru,

  cmd.Parameters.AddWithValue(NAME, "%" + "JOHN" + "%"); 
  

• lub

  cmd.Parameters.AddWithValue(NAME, "'%" + "JOHN" + "%'"); 
  

I nie może wydawać się uzyskać to do pracy, w jaki sposób można użyć parametru dla zapytanie LIKE do działania.

sugestie są mile widziane!

Answer 1

Nie można podać parametrów w literale tekstowym w zapytaniu. Uczynić całą wartość parametru i dodać do ciągu znaków wieloznacznych:

var SQL = string.format("SELECT * FROM {0} WHERE {1} LIKE ?", TABLE, NAME); 
Cmd.Parameters.AddWithValue(NAME, "%" + "JOHN" + "%"); 

Answer 2

W przeszłości, kiedy to zrobić, ja po prostu zintegrować go do sql, upewniając się, że mogę wymienić apostrofów ze znakami zapytania do czynienia z SQL injection. Np .:

var SQL = string.format("SELECT * FROM {0} WHERE {1} LIKE '%{2}%'", 
    TABLE, 
    NAME, 
    JOHN.Replace("'","?")); 

Answer 3

var SQL = string.Format("SELECT * FROM {0} WHERE {1} LIKE '%' + ? + '%'", TABLE, NAME); 
Cmd.CommandText = SQL; 
Cmd.Parameters.Add("?", SqlDbType.VarChar, 50).Value = "JOHN";