C# と VB.NET の質問掲示板

■No61509 (介平 さん) に返信
> (仮)
> SELECT * FROM T_TEST WHERE ID_NO = '"& id.text &"' and name = '"& kananame.text &"'

このような記述は避けましょう。代わりに、パラメータクエリの利用を検討してください。
(SQL 中でパラメータを使う方法は、利用するデータベース製品によって異なります)

# SQL Injection の事は理解した上で、掲示板投稿の為に
# 省略表記しただけであれば良いのですけれども。

提示されたコードだと、たとえば kananame に「@' or '@' = '@」と入力された場合、
「SELECT * FROM T_TEST WHERE ID_NO = '123' and name = '@' or '@' = '@'」
という SQL が生成され、その結果、全データが抽出されかねません。

http://technet.microsoft.com/ja-jp/library/dd362952.aspx


> idとkananameは常に入力されるわけではなく、ID_NOだけの検索であったりnameだけの検索であったりします。
> しかし、テーブルのID_NOとnameはかならずデータが入る仕様となります。
> このままだとどちらかが空白だった場合、抽出結果が０件になってしまいます。

SQL を直接生成して良いなら、たとえばこんな感じにするのは如何でしょう。

　Dim filter As New List(Of String)()
　If id.TextLength > 0 Then
　　filter.Add(String.Format("ID_NO = '{0}'", id.Text.Replace("'", "''") ))
　End If
　If kananame.TextLength > 0 Then
　　filter.Add(String.Format("name = '{0}'", kananame.Text.Replace("'", "''") ))
　End If
  '   ：
  '   ：同様にして、その他の AND 条件を列挙
  '   ：
　SQL = "SELECT * FROM T_TEST"
　If filter.Count > 0 Then
　　SQL &= " WHERE " & String.Join(" AND ", filter.ToArray())
　End If



SQL 文は固定的にしたいなら、それぞれの値(列ではなく、入力値の方)が空かどうかを判定してみてください。
たとえば、SQL Server でパラメータクエリを使うのであれば、

　WHERE (ID_NO = :id OR :id IS NULL) and (name = :kananame OR :kananame IS NULL)

のような感じです。名前付きパラメータを使えない処理(System.Data.OleDb + Jet Provider 等)や、
空文字列と NULL を区別しない処理系(Oracle 等)の場合は、若干手を加える必要がありますが。


> どなたかご教授願います。
http://www.tt.rim.or.jp/~rudyard/torii009.html