如何使用WHERE LIKE SQL子句？

Question

sprintf(query, "SELECT username, msg, ts, lat, lon FROM tweet WHERE msg LIKE '%'%s'%' ORDER BY ts DESC", keyword);

我這樣做的方式給了我錯誤。 我應該如何使用printf將'％keyword％'格式化為SQL？

Answer 1

如果我理解SQL Query語句是正確的，則當keyword值為NBA ，您希望查詢字符串如下所示：

"SELECT username, msg, ts, lat, lon FROM tweet WHERE msg LIKE '%NBA%' ORDER BY ts DESC"

在這種情況下， sprintf語句的格式必須為：

"SELECT username, msg, ts, lat, lon FROM tweet WHERE msg LIKE '%%%s%%' ORDER BY ts DESC"

Answer 2

您需要通過加倍%%來引用百分號

sprintf(query, "SELECT username, msg, ts, lat, lon FROM tweet WHERE msg LIKE '%%%s%%' ORDER BY ts DESC", keyword);
                                                                              ^^  ^^

如前所述 ：串聯字符串容易出錯，並且可能會受到SQL注入攻擊。 請改用參數化查詢。