在SELECT WHERE语句中使用CASE：VB应用SQL混合数据过滤问题

问题场景 #

SQL表的Removing_Date列存储了混合数据：既有Never、To be decided later这类文本值，也有21/08/2024这类日期格式字符串。需要实现两种过滤逻辑：

• 选择日期过滤时，仅筛选有效日期且在指定范围内的记录
• 选择文本过滤时，匹配包含指定文本的记录

原代码存在的问题 #

1. CASE语句语法错误：原日期过滤的CASE表达式未返回合法布尔判断条件，无法直接作为WHERE子句的筛选依据
2. SQL注入风险：直接拼接用户输入（日期控件值、文本框内容）到SQL语句中，极易引发注入攻击
3. 日期解析兼容性问题：未处理日期格式与数据库解析规则的匹配，可能导致有效日期无法被正确识别

修正后的实现方案 #

采用参数化查询规避注入风险，同时修正WHERE条件逻辑：

完整VB代码示例 #

If CHK_RemovingDate.Checked = True Then
    Dim sqlCommand As New SqlCommand()
    sqlCommand.Connection = yourSqlConnection ' 替换为你的数据库连接对象

    If Not CHK_RemovingDateText.Checked Then
        ' 日期范围过滤：仅筛选有效日期且在指定区间内的记录
        sqlCommand.CommandText = "SELECT * FROM Main " & _
                                 "WHERE ISDATE([Removing_Date]) = 1 " & _
                                 "AND CONVERT(date, [Removing_Date], 103) BETWEEN @StartDate AND @EndDate"
        ' 103对应dd/mm/yyyy格式，若日期格式为mm/dd/yyyy则替换为101
        sqlCommand.Parameters.AddWithValue("@StartDate", RemovingDate1.Value.Date)
        sqlCommand.Parameters.AddWithValue("@EndDate", RemovingDate2.Value.Date)
    Else
        ' 文本匹配过滤：匹配包含指定文本的所有记录（含日期格式字符串）
        sqlCommand.CommandText = "SELECT * FROM Main WHERE [Removing_Date] LIKE '%' + @SearchText + '%'"
        sqlCommand.Parameters.AddWithValue("@SearchText", TXT_RemovingDate_Text.Text)
    End If

    ' 执行查询并处理结果（示例）
    ' Dim reader As SqlDataReader = sqlCommand.ExecuteReader()
End If

关键说明 #

• 日期格式转换：使用CONVERT(date, [Removing_Date], 103)将字符串转为日期类型，格式代码需根据实际日期格式调整
• 参数化查询：所有用户输入通过参数传递，彻底避免SQL注入
• 有效日期校验：通过ISDATE([Removing_Date]) = 1确保仅处理可转换为日期的记录，再进行范围比较

内容的提问来源于stack exchange，提问作者Husam Nurein