调试程序触发System.Data.SqlClient.SqlException：`附近语法错误

嘿，这个问题我之前踩过坑，咱们一步步拆解解决：

1. 直接触发语法错误的根源 #

你代码里用了**反引号（）**包裹列名（比如lastname、middle），但你用的System.Data.SqlClient`是针对SQL Server的驱动——SQL Server根本不支持用反引号做标识符分隔符，这是MySQL这类数据库的语法。

SQL Server里正确的标识符分隔方式是用方括号（[]），如果开启了QUOTED_IDENTIFIER配置，也可以用双引号（""）。

2. 更致命的隐藏问题：SQL注入风险 #

除了语法错误，你直接把用户输入的valueToSearch拼接到SQL语句里，这会引发严重的SQL注入漏洞——恶意用户能通过构造特殊输入篡改SQL逻辑，甚至窃取、删除数据库数据。必须用参数化查询彻底解决这个问题。

修正后的代码示例 #

public void searchData(string valueToSearch)
{
    // 用方括号适配SQL Server的标识符规则
    // 改用参数化查询，从根源避免SQL注入
    string query = @"SELECT * FROM users 
                     WHERE CONCAT([lastname], [middle], [firstname], [username]) LIKE '%' + @SearchValue + '%'";
    
    // 用using自动释放资源，避免连接泄漏
    using (SqlCommand command = new SqlCommand(query, connection))
    {
        // 添加参数，驱动会自动处理特殊字符转义
        command.Parameters.AddWithValue("@SearchValue", valueToSearch);
        
        SqlDataAdapter sda = new SqlDataAdapter(command);
        // 后续填充DataTable/DataSet的逻辑...
    }
}

额外优化建议 #

如果你的列可能存在NULL值，CONCAT函数只要有一个参数是NULL，整个结果就会变成NULL，导致匹配失效。可以改用ISNULL把NULL替换为空字符串，或者用CONCAT_WS（忽略NULL的连接函数）：

// 处理NULL值的优化写法
string query = @"SELECT * FROM users 
                 WHERE CONCAT(ISNULL([lastname], ''), ISNULL([middle], ''), ISNULL([firstname], ''), ISNULL([username], '')) LIKE '%' + @SearchValue + '%'";

内容的提问来源于stack exchange，提问作者steffy