如何在SQL查询LIKE子句中使用参数？WinForms搜索功能异常求助

嘿，我懂你这种快完成功能却卡壳的烦躁！你遇到的核心问题肯定是参数化查询的过滤逻辑没写对，导致SQL语句根本没起到过滤作用，所以才会返回数据库里的全部数据。我来给你拆解一下问题，再给你一套能直接用的解决方案。

常见的错误原因 #

先排查这几个容易踩的坑：

• 你可能不小心用了字符串拼接SQL（哪怕你以为用了参数），比如把用户输入直接拼进了SQL语句里，或者参数的赋值逻辑有问题；
• WHERE子句的条件写得不对，比如用了恒成立的条件（比如1=1），或者参数的通配符处理错误；
• 参数名和SQL语句里的占位符不匹配，导致参数没被正确绑定。

正确的参数化查询实现 #

针对你的搜索需求（支持全名、名字、姓氏模糊搜索），我给你写一个标准的实现示例，你可以直接套用到你的代码里：

private void btnSearch_Click(object sender, EventArgs e)
{
    // 获取用户输入的搜索文本
    string searchText = txtSearch.Text.Trim();
    if (string.IsNullOrEmpty(searchText))
    {
        MessageBox.Show("请输入搜索内容");
        return;
    }

    // 数据库连接字符串（根据你的实际配置修改）
    string connectionString = "你的数据库连接字符串";
    // 注意：通配符%要加在参数值里，而不是SQL语句中，避免注入风险
    string sqlQuery = @"SELECT FullName, FirstName, LastName 
                        FROM YourTableName 
                        WHERE FullName LIKE @SearchTerm 
                           OR FirstName LIKE @SearchTerm 
                           OR LastName LIKE @SearchTerm";

    using (SqlConnection conn = new SqlConnection(connectionString))
    {
        using (SqlCommand cmd = new SqlCommand(sqlQuery, conn))
        {
            // 添加参数，这里把用户输入的文本前后加上%，实现模糊搜索
            cmd.Parameters.AddWithValue("@SearchTerm", $"%{searchText}%");
            // 如果你用的是.NET Framework 4.0+，更推荐用SqlParameter指定类型，避免隐式转换问题
            // cmd.Parameters.Add(new SqlParameter("@SearchTerm", SqlDbType.NVarChar, 100) { Value = $"%{searchText}%" });

            conn.Open();
            using (SqlDataReader reader = cmd.ExecuteReader())
            {
                // 清空之前的标签内容
                lblResult.Text = "";
                while (reader.Read())
                {
                    // 把查询结果拼接显示到标签里，这里可以根据你的需求调整格式
                    string fullName = reader["FullName"].ToString();
                    lblResult.Text += $"找到匹配人员：{fullName}\n";
                }

                if (lblResult.Text == "")
                {
                    lblResult.Text = "没有找到匹配的人员";
                }
            }
        }
    }
}

关键注意事项 #

• 绝对不要用字符串拼接SQL：比如"WHERE FullName LIKE '%" + searchText + "%'"，这种写法不仅会导致你现在的问题，还会引发SQL注入漏洞；
• 通配符的位置：把%放在参数值里，而不是SQL语句中，这样参数化才能正常工作；
• 参数名要严格匹配：SQL里的@SearchTerm必须和你添加的参数名完全一致；
• 检查输入为空的情况：如果用户没输入内容，直接提示，避免执行无过滤的查询返回全表。

按照这个示例修改你的代码，应该就能解决返回全数据的问题了！如果还有问题，可以检查一下你的表字段名是否和SQL里的一致，或者参数是否正确传递。

内容的提问来源于stack exchange，提问作者Nohemi