ASP.NET网站：基于复选框列表的数据库查询异常问题

我来帮你搞定这个问题！你猜的没错——当前代码只用到了CheckBoxList1.SelectedValue，这个属性只会返回第一个选中项的值，所以查询自然没办法匹配所有选中的症状。另外还有个关键隐患：直接把控件值拼进SQL语句里会引发SQL注入攻击，绝对不能这么做，必须用参数化查询来处理。

正确的解决步骤： #

1. 先收集所有选中的SymptomID
2. 构建带参数的SQL IN 子句，避免注入风险
3. 执行查询并绑定到GridView

修正后的完整代码： #

// 收集所有选中的SymptomID
List<string> selectedSymptomIds = new List<string>();
foreach (ListItem item in CheckBoxList1.Items)
{
    if (item.Selected)
    {
        selectedSymptomIds.Add(item.Value);
    }
}

// 处理未选中任何项的情况
if (selectedSymptomIds.Count == 0)
{
    GridView1.DataSource = null;
    GridView1.DataBind();
    return;
}

// 构建参数化查询
StringBuilder sqlBuilder = new StringBuilder();
sqlBuilder.Append("SELECT DS.DiseaseID, D.DiseaseName ");
sqlBuilder.Append("FROM DiseasesSymptoms DS ");
sqlBuilder.Append("INNER JOIN Diseases D ON DS.DiseaseID = D.DiseaseID ");
sqlBuilder.Append("WHERE SymptomID IN (");

// 为每个选中项创建参数
List<SqlParameter> parameters = new List<SqlParameter>();
for (int i = 0; i < selectedSymptomIds.Count; i++)
{
    string paramName = $"@SymptomID{i}";
    sqlBuilder.Append(paramName);
    if (i < selectedSymptomIds.Count - 1)
    {
        sqlBuilder.Append(", ");
    }
    parameters.Add(new SqlParameter(paramName, selectedSymptomIds[i]));
}
sqlBuilder.Append(")");

// 执行查询
using (SqlConnection con = new SqlConnection("你的数据库连接字符串"))
{
    using (SqlCommand cmd = new SqlCommand(sqlBuilder.ToString(), con))
    {
        cmd.Parameters.AddRange(parameters.ToArray());
        SqlDataAdapter da = new SqlDataAdapter(cmd);
        DataSet ds = new DataSet();
        da.Fill(ds);
        GridView1.DataSource = ds;
        GridView1.DataBind();
    }
}

关键说明： #

• 用foreach遍历CheckBoxList1.Items，判断每个项是否选中，收集所有选中的SymptomID，这样就不会遗漏任何选中项
• 使用StringBuilder构建SQL语句，同时为每个选中的ID创建独立参数，彻底避免SQL注入
• 增加了未选中任何项的处理逻辑，防止出现无效的SQL查询
• 用using语句自动管理数据库连接和命令的资源，避免内存泄漏

内容的提问来源于stack exchange，提问作者Mohammad Salah