SQL参数中的通配符

Question

我需要在我的 SQL Server 数据库中进行类似搜索。但是，我该如何做到这一点，同时仍然使用参数作为我的搜索值？

我不是在谈论封装在 % 中。我需要能够在搜索词中间添加 % 。

WHERE title LIKE '%foo%bar%'

作为一个例子，但是带有参数。

编辑： 详细说明参数： 我使用的是 MS SQL 2008 和 C#，所以它会是：

WHERE title LIKE '@SearchParam'

并且 @SearchParam 将被设置为 "%foo%bar%"。

我希望这是有道理的？

Answer 1

这工作正常

create proc dbo.lookupWild(@LIKEclause VARCHAR(20))
as
begin
    select * from teams where Name like @LIKEclause
end
go
exec lookupWild 'E%G%'  

，像“1=1 -- drop table”这样的东西不是 SQL 注入的，它们只是通配符搜索的一部分

Answer 2

如果您使用存储过程，这应该可以正常工作。 这里是一个类似的线程。

如何转义通配符在 SQL Server 中搜索时的字符

您是否在寻找类似下面的内容？

where title like '%foo[%]bar%'