C# SqlSugar 如何使用Sql语句进行查询，并带参数进行查询，防注入

一般ORM查询单表数据已经是很简单的一种方式了

详情可以看我的另一篇文章：ORM C# 封装SqlSugar 操作数据库_sqlsugar 基类封装-CSDN博客

下面是介绍有些数据是需要比较复杂的SQL语句来进行查询的时候，则需要自行组装SQL语句来进行查询，下面介绍的是 组装SQL查询语句并获取数据的一个示例。

用参数化查询是为了防SQL注入，一般是不建议直接用字符串的方式拼接字符串的。

下面代码已经有注释了，都能看懂，希望能帮助到大家。

            //查询语句组装StringBuilder sqlStr=new StringBuilder();//参数列表List<SugarParameter> parameters = new List<SugarParameter>();//主表查询sqlStr.Append("SELECT *  FROM t_material ");//拼装Where条件string where = string.Empty;if(!string.IsNullOrEmpty(mCode)){//如果编号不为空，则添加条件where += " MaterialCode=@mCode AND";//参数列表也同时添加parameters.Add(new SugarParameter("@mCode",mCode));}if (!string.IsNullOrEmpty(mName)){//名称进行模糊查询where += " MaterialName LIKE @mName AND";//参数中添加%parameters.Add(new SugarParameter("@mName", $"%{mName}%"));}if(notShowZero){//此处是判断其他表的一些限制条件  判断库存数量大于0where += " MaterialCode IN (SELECT MaterialCode FROM t_materialstock WHERE StockNum>0) AND";}if(!string.IsNullOrEmpty(where)){//如果Where条件不为空，则添加WHERE sqlStr.Append(" WHERE ");//删除最后的AND字符where = where.TrimEnd(new char[] { 'A', 'N', 'D' });sqlStr.Append(where);}//添加SQL语句var sql= base.DB.SqlQueryable<t_material>(sqlStr.ToString());//添加参数sql.AddParameters(parameters);//最后一个分页查询return sql.ToPageList(page,pageSize,ref total);