转换失败：SqlParameter 和 DateTime

Question

我正在使用 SqlParameters 更改旧的、易受攻击的 SqlCommands，但收到 SqlException：

System.Data.SqlClient.SqlException {“从字符串转换日期时间时转换失败。”}

on sqlCommand.ExecuteScalar：

Dim sqlString As String = _
    "SELECT TOP 1 " & _
        "fiSL " & _
    "FROM " & _
        "tabData AS D " & _
    "WHERE " & _
        "D.SSN_Number = '@SSN_Number' " & _
    "AND D.fiProductType = 1 " & _
    "AND D.Repair_Completion_Date > '@Repair_Completion_Date' " & _
    "ORDER BY " & _
        "D.Repair_Completion_Date ASC"    

Dim obj As Object
Dim sqlCommand As SqlCommand
Try
    sqlCommand = New SqlCommand(sqlString, Common.MyDB.SqlConn_RM2)
    sqlCommand.CommandTimeout = 120
    sqlCommand.Parameters.AddWithValue("@SSN_Number", myClaim.SSNNumber)
    sqlCommand.Parameters.AddWithValue("@Repair_Completion_Date", myClaim.RepairCompletionDate)
    If Common.MyDB.SqlConn_RM2.State <> System.Data.ConnectionState.Open Then Common.MyDB.SqlConn_RM2.Open()
        obj = sqlCommand.ExecuteScalar()
Catch ex As Exception
    Dim debug As String = ex.ToString
Finally
    Common.MyDB.SqlConn_RM2.Close()
End Try

myClaim.RepairCompletionDate 是 SQLDateTime。 我是否必须删除 sqlString 中的引号才能比较日期列？但后来我没有得到异常，但结果不正确。

Answer 1

是的，应该删除引号。永远不应该在 T-SQL 中的参数周围使用引号 - 即使使用字符串时也是如此。因此，您应该删除 @SSN_Number 和 @Repair_Completion_Date 周围的引号。