매개 변수가있는 저장 프로 시저를 사용하여 SqlDataSource.SelectCommand 수정

Question

내 응용 프로그램에서 검색 상자를 만들려고하므로 SqlDataSource.SelectCommand를 수정해야합니다. 나는 어떤 도움을 주셔서 감사합니다! 나는 다음과 같이했다 테스트를 위해

, 그것은 작동하지만 이것은 내가 지금까지 시도 무엇 SQL 주입

SqlDataSource1.SelectCommand = "sp_offer_search '" + txtSearch.Text + "', " + Session["customerId"] + " , '" + "Pending"+ "'"; 
    GridView1.DataBind(); 

에 취약하지만 작동하지 않습니다 :

if (txtSearch.Text != "") 
     {     
     //open connection 
      oCn.Open(); 
      SqlCommand com = new SqlCommand(query, oCn); 
      com.CommandType = CommandType.StoredProcedure; 

      com.Parameters.AddWithValue("@Variable", txtSearch.Text); 
      com.Parameters.AddWithValue("@CustomerId",Session["customerId"]); 
      com.Parameters.AddWithValue("@Status", txtStatus.Text); 


      DataTable dt = new DataTable(); 
      dt.Load(com.ExecuteReader()); 

      SqlDataSource1.SelectCommand = dt.ToString(); 
      GridView1.DataBind(); 
     } 

Answer 1

해결되었습니다! 여기 제가 시도한 것과 작동합니다. 나는 이것이 누군가에게 도움이되기를 바랍니다.

if (txtSearch.Text != "") 
     { 
      try 
      { 
       // open connection 
       oCn.Open(); 

       SqlDataAdapter da = new SqlDataAdapter("sp_offer_search", oCn); 

       da.SelectCommand.CommandType = CommandType.StoredProcedure; 
       da.SelectCommand.Parameters.Add("@Variable", SqlDbType.VarChar).Value = txtSearch.Text; 
       da.SelectCommand.Parameters.Add("@CustomerId", SqlDbType.Int).Value = Session["customerId"]; 
       da.SelectCommand.Parameters.Add("@Status", SqlDbType.VarChar).Value = "Pending"; 

       DataTable dt = new DataTable(); 
       da.Fill(dt); 
       GridView1.DataSourceID = String.Empty; 
       GridView1.DataSource = dt; 
       GridView1.DataBind(); 

      } 
      catch(Exception ex) 
      { 
       Response.Write(ex.ToString()); 
      } 
      finally 
      { 
       oCn.Close(); 
      } 

     } 
     else 
     { 
      GridView1.DataSourceID = "SqlDataSource1"; 
      SqlDataSource1.SelectCommand = SqlDataSource1.SelectCommand; 
      GridView1.DataBind(); 
     } 

Answer 2

경우] GridView 데이터 소스가 SqlDataSource1로 설정된 경우 DataTable이 필요하지 않습니다. 그리고 DataTable.ToString()은 selectCommand가 아닙니다. 시도 :

if (txtSearch.Text != "") 
    {       
     SqlCommand com = new SqlCommand(query, oCn); 
     com.CommandType = CommandType.StoredProcedure; 

     com.Parameters.AddWithValue("@Variable", txtSearch.Text); 
     com.Parameters.AddWithValue("@CustomerId",Session["customerId"]); 
     com.Parameters.AddWithValue("@Status", txtStatus.Text); 

     SqlDataSource1.SelectCommand = com; 
     GridView1.DataBind(); 
    }