Skip to main content
2 de 2
se añadieron 96 caracteres en el cuerpo
ronpy
  • 556
  • 3
  • 8

No es una buena práctica concatenar parametros de esa forma, porque pueden inyectarte código SQL allí y ejecutar comandos que no deseas.

Lo más seguro es utilizar procedimientos almacenados, o si eso no es posible, usar SqlParameter con los SqlCommand, por ejemplo:

string query = "SELECT * FROM mensuales WHERE FechaHora BETWEEN @FechaDesde and @FechaHasta";
SqlConnection cn = new SqlConnection(conexion);
SqlDataAdapter da = new SqlDataAdapter(query, cn);
da.SelectCommand.Parameters.Add(
    new SqlParameter("@FechaDesde", 
    Convert.ToDateTime(string.Format(dateDatosMinutalesDesde.Text, "yyyy-MM-dd") + " " + string.Format(timeMinutalesDesde.Text, "HH:mm"))));
da.SelectCommand.Parameters.Add(
    new SqlParameter("@FechaHasta", 
    Convert.ToDateTime(string.Format(dateDatosMinutalesHasta.Text, "yyyy-MM-dd") + " " + string.Format(timeMinutalesHasta.Text, "HH:mm"))));
DataSet ds = new DataSet();
da.Fill(ds);
dataGridMinutales.DataSource = ds.Tables[0];
ronpy
  • 556
  • 3
  • 8