如何用WHERE条件在C#中查询MySQL数据并显示到DataGridView？

我来帮你分析下当前遇到的问题，以及彻底解决的方案：

你的错误根源在于直接将用户输入的字符串拼接进SQL语句，这会导致两个关键问题：一是日期格式不匹配MySQL的要求，二是极易引发SQL注入风险，而你当前看到的语法错误，大概率是因为拼接后的SQL语句缺少必要的引号或者日期值无效，导致SQL语法断裂。

问题拆解 #

你原来的代码中，拼接后的SQL可能会变成这样（比如textBox1为空时）：

SELECT * FROM tbl_sales WHERE last_updated_on >=

这显然不符合SQL语法，MySQL自然会报错。就算textBox1有值，如果没有用单引号包裹日期字符串，或者日期格式不符合MySQL的DateTime格式（比如yyyy-MM-dd HH:mm:ss），同样会触发语法错误。

正确解决方案：使用参数化查询 #

参数化查询是处理这类数据库交互的最佳实践，它不仅能避免语法错误，还能彻底防止SQL注入攻击。同时，我们应该直接使用DateTimePicker的强类型Value属性，而非Text属性，避免格式转换问题。

修改后的代码如下：

private void button1_Click(object sender, EventArgs e)
{
    // 使用参数占位符代替直接拼接字符串
    string query = "SELECT * FROM tbl_sales WHERE last_updated_on >= @LastUpdatedDate";
    try
    {
        conLocal.Open();
        // 初始化命令时直接传入查询语句和连接
        cmdLocal = new MySqlCommand(query, conLocal);
        // 添加参数，指定日期值，让MySQL自动处理格式
        cmdLocal.Parameters.AddWithValue("@LastUpdatedDate", dateTimePicker1.Value);
        
        // 更严谨的参数声明方式（推荐）：明确指定参数类型
        // cmdLocal.Parameters.Add("@LastUpdatedDate", MySqlDbType.DateTime).Value = dateTimePicker1.Value;

        da = new MySqlDataAdapter(cmdLocal);
        dt = new DataTable();
        da.Fill(dt);
        dataGridView1.DataSource = dt;
    }
    catch (Exception ex)
    {
        MessageBox.Show($"查询出错：{ex.Message}");
    }
    finally
    {
        // 空值判断，避免空引用异常
        da?.Dispose();
        conLocal.Close();
    }
}

额外注意事项 #

• 永远不要直接拼接用户输入到SQL语句中，这是数据库开发的大忌。
• 使用dateTimePicker1.Value可以确保我们传递的是标准的DateTime类型，无需担心格式转换问题，MySQL会自动识别并处理。
• 确保你的数据库连接对象conLocal已经正确初始化（比如在窗体加载时创建连接实例），避免空引用错误。

内容的提问来源于stack exchange，提问作者S.Sakthybaalan