ASP.NET WebForms中使用保修状态用户输入参数执行SQL查询无法获取数据

看起来你的问题出在下拉框的值与SQL查询期望的内容不匹配，还有直接拼接SQL字符串的风险，我来一步步帮你解决：

问题根源分析 #

你页面里的下拉框slctwarranty的选项值是数字（1、2、3），但SQL查询里你之前硬编码的是文本值'Canceled'。当你用txtwarranty.Value（或者直接用slctwarranty.SelectedValue）的时候，拿到的是数字，而数据库里的warranty_status字段存储的是文本（比如'Canceled'、'Registered'），这就导致查询条件不匹配，自然查不到数据。

另外，你现在直接拼接SQL字符串的写法存在严重的SQL注入风险，绝对不能在生产环境这么用，必须改用参数化查询。

解决方案步骤 #

1. 调整下拉框选项值（或后台映射值） #

两种方式选其一：

• 方式一：修改下拉框的value为对应的文本值，这样直接拿到的就是SQL需要的内容：

<select id="slctwarranty" runat="server" name="select" class="js-example-basic-multiple" required="required">
    <option value="" selected="selected">Select Warranty </option>
    <option value="Canceled">Canceled</option>
    <option value="Registered">Registered</option>
    <option value="In-Process">In-Process</option>
</select>

• 方式二：如果不想改下拉框，就在后台把选中的数字映射成对应的文本：

string warrantyStatus = string.Empty;
switch(slctwarranty.SelectedValue)
{
    case "1":
        warrantyStatus = "Canceled";
        break;
    case "2":
        warrantyStatus = "Registered";
        break;
    case "3":
        warrantyStatus = "In-Process";
        break;
    default:
        // 处理未选择的情况，比如抛出提示或设置默认值
        break;
}

2. 使用参数化查询重构SQL代码 #

直接拼接字符串不仅会导致你遇到的参数不匹配问题，还会带来安全风险。改用SqlCommand的参数化查询，示例如下：

// 假设你已经有了数据库连接对象
using (SqlConnection conn = new SqlConnection("你的连接字符串"))
{
    string query = @"SELECT * FROM 你的表名 c 
                     WHERE c.warranty_status = @WarrantyStatus 
                     AND c.FK_Product IN (@ProductIds)
                     AND c.RegisteredOn BETWEEN @FromDate AND @ToDate";

    using (SqlCommand cmd = new SqlCommand(query, conn))
    {
        // 添加参数
        cmd.Parameters.AddWithValue("@WarrantyStatus", warrantyStatus); // 这里用上面拿到的正确状态值
        cmd.Parameters.AddWithValue("@ProductIds", txtservice.Value); // 注意：如果是多个产品ID，需要特殊处理IN子句，或者用表值参数
        cmd.Parameters.AddWithValue("@FromDate", Convert.ToDateTime(txtfromdate.Value));
        cmd.Parameters.AddWithValue("@ToDate", Convert.ToDateTime(txttodate.Value));

        conn.Open();
        // 执行查询，比如用SqlDataAdapter填充DataTable或者用SqlDataReader读取
        SqlDataAdapter da = new SqlDataAdapter(cmd);
        DataTable dt = new DataTable();
        da.Fill(dt);
        // 绑定到表格控件
        yourGridView.DataSource = dt;
        yourGridView.DataBind();
    }
}

注意：如果txtservice.Value是多个产品ID用逗号分隔的字符串，直接用IN (@ProductIds)是不行的，需要拆分字符串或者使用表值参数，避免再次拼接字符串。

3. 移除不必要的隐藏字段 #

你页面里的txtwarranty隐藏字段其实没必要，直接用服务器端控件slctwarranty.SelectedValue就能拿到选中的值，这样代码更简洁，也减少出错的可能。

额外提示 #

• 始终验证用户输入：比如日期格式是否正确，保修状态是否有选中，避免转换DateTime时抛出异常。
• 使用using语句确保数据库连接和命令对象正确释放，避免资源泄漏。

备注：内容来源于stack exchange，提问作者M Umer