C# と VB.NET の質問掲示板

■No16591 (hiro さん) に返信
> そこでテキストボックスにキーワードを入れそのキーワードを含むレコードを検索するSQLを
> SELECT * FROM 得意先テーブル WHERE (会社名 Like '*" & TextBox1.Text & "*')としたのですが
> TextBox1.Textのところに定数式が必要です。とエラーが出てしまいます。
> どうすればいいのでしょうか？

テキストボックスの内容をそのままSQL文に組み立ててはダメです。
SQLインジェクションという言葉を調べてみて下さい。

--以下、動作未確認---
        Using _cn As New System.Data.OleDb.OleDbConnection
                 :
               (中略)
                 :
            Using _cmd As New System.Data.OleDb.OleDbCommand
                Dim company As String = "*" & Me.TextBox1.Text.Trim & "*"
                _cmd.Connection = _cn
                _cmd.Parameters.Add("?company", company)
                _cmd.CommandText = "SELECT * FROM 得意先テーブル WHERE (会社名 Like ?company)"
                 :
               (中略)
                 :
            End Using
        End Using

おはようございます。
回答ありがとうございます。

早速書き換え『＊』をの部分を『%』に変更したのですが、データセットにデータを取得するのところで
'System.Data.OleDb.OleDbException' のハンドルされていない例外が system.data.dll で発生しました。になります。
何回も申し訳ありませんがお願いします。


コードはこのようにしています。

     Dim OleConn As New OleDb.OleDbConnection
        Dim OleDA As New OleDb.OleDbDataAdapter
        Dim oCommand As New OleDb.OleDbCommand
        Dim dtSet As DataSet = New DataSet("得意先テーブル")
        '2)接続文字列の作成
        OleConn.ConnectionString = _
            "Provider=Microsoft.Jet.OLEDB.4.0;" & _
            "Data Source=C:\Documents and Settings\SHO\My Documents\データベース.mdb;" & _
            "Persist Security Info=False"
        'コネクションの設定
        oCommand.Connection = OleConn
        'ＳＱＬの定義
        Const sqlString As String = "SELECT * FROM 得意先テーブル WHERE (会社名 Like % & TextBox1.Text & %)"
        OleDA.SelectCommand = oCommand
        oCommand.CommandText = sqlString
        dtSet.Clear()
　　　　'データセットにデータを取得する
        OleDA.Fill(dtSet, "得意先テーブル")
        DataGrid1.DataSource() = dtSet.Tables(0)