Skip to main content
se añadieron 96 caracteres en el cuerpo
Origen Enlace
ronpy
  • 556
  • 3
  • 8

No es una buena práctica concatenar parametros de esa forma, porque pueden inyectarte código SQL allí y ejecutar comandos que no deseas.

Lo más seguro es utilizar procedimientos almacenados, o si eso no es posible, usar SqlParameter con los SqlCommand, por ejemplo:

string query = "SELECT * FROM mensuales WHERE FechaHora BETWEEN @FechaDesde and @FechaHasta";
SqlConnection cn = new SqlConnection(conexion);
SqlDataAdapter da = new SqlDataAdapter(query, cn);
da.SelectCommand.Parameters.Add(
    new SqlParameter("@FechaDesde", 
    Convert.ToDateTime(dateDatosMinutalesDesde.Valuestring.ToStringFormat(dateDatosMinutalesDesde.Text, "yyyy-MM-dd") + '" '" + string.Format(timeMinutalesDesde.ValueText, "HH:mm"))));
da.SelectCommand.Parameters.Add(
    new SqlParameter("@FechaHasta", 
    Convert.ToDateTime(dateDatosMinutalesHasta.Valuestring.ToStringFormat(dateDatosMinutalesHasta.Text, "yyyy-MM-dd") + '" '" + string.Format(timeMinutalesHasta.ValueText, "HH:mm"))));
DataSet ds = new DataSet();
da.Fill(ds);
dataGridMinutales.DataSource = ds.Tables[0];

No es una buena práctica concatenar parametros de esa forma, porque pueden inyectarte código SQL allí y ejecutar comandos que no deseas.

Lo más seguro es utilizar procedimientos almacenados, o si eso no es posible, usar SqlParameter con los SqlCommand, por ejemplo:

string query = "SELECT * FROM mensuales WHERE FechaHora BETWEEN @FechaDesde and @FechaHasta";
SqlConnection cn = new SqlConnection(conexion);
SqlDataAdapter da = new SqlDataAdapter(query, cn);
da.SelectCommand.Parameters.Add(new SqlParameter("@FechaDesde", Convert.ToDateTime(dateDatosMinutalesDesde.Value.ToString("yyyy-MM-dd") + ' ' + timeMinutalesDesde.Value)));
da.SelectCommand.Parameters.Add(new SqlParameter("@FechaHasta", Convert.ToDateTime(dateDatosMinutalesHasta.Value.ToString("yyyy-MM-dd") + ' ' + timeMinutalesHasta.Value)));
DataSet ds = new DataSet();
da.Fill(ds);
dataGridMinutales.DataSource = ds.Tables[0];

No es una buena práctica concatenar parametros de esa forma, porque pueden inyectarte código SQL allí y ejecutar comandos que no deseas.

Lo más seguro es utilizar procedimientos almacenados, o si eso no es posible, usar SqlParameter con los SqlCommand, por ejemplo:

string query = "SELECT * FROM mensuales WHERE FechaHora BETWEEN @FechaDesde and @FechaHasta";
SqlConnection cn = new SqlConnection(conexion);
SqlDataAdapter da = new SqlDataAdapter(query, cn);
da.SelectCommand.Parameters.Add(
    new SqlParameter("@FechaDesde", 
    Convert.ToDateTime(string.Format(dateDatosMinutalesDesde.Text, "yyyy-MM-dd") + " " + string.Format(timeMinutalesDesde.Text, "HH:mm"))));
da.SelectCommand.Parameters.Add(
    new SqlParameter("@FechaHasta", 
    Convert.ToDateTime(string.Format(dateDatosMinutalesHasta.Text, "yyyy-MM-dd") + " " + string.Format(timeMinutalesHasta.Text, "HH:mm"))));
DataSet ds = new DataSet();
da.Fill(ds);
dataGridMinutales.DataSource = ds.Tables[0];
Origen Enlace
ronpy
  • 556
  • 3
  • 8

No es una buena práctica concatenar parametros de esa forma, porque pueden inyectarte código SQL allí y ejecutar comandos que no deseas.

Lo más seguro es utilizar procedimientos almacenados, o si eso no es posible, usar SqlParameter con los SqlCommand, por ejemplo:

string query = "SELECT * FROM mensuales WHERE FechaHora BETWEEN @FechaDesde and @FechaHasta";
SqlConnection cn = new SqlConnection(conexion);
SqlDataAdapter da = new SqlDataAdapter(query, cn);
da.SelectCommand.Parameters.Add(new SqlParameter("@FechaDesde", Convert.ToDateTime(dateDatosMinutalesDesde.Value.ToString("yyyy-MM-dd") + ' ' + timeMinutalesDesde.Value)));
da.SelectCommand.Parameters.Add(new SqlParameter("@FechaHasta", Convert.ToDateTime(dateDatosMinutalesHasta.Value.ToString("yyyy-MM-dd") + ' ' + timeMinutalesHasta.Value)));
DataSet ds = new DataSet();
da.Fill(ds);
dataGridMinutales.DataSource = ds.Tables[0];