Crear filtros dinámicos en consultas de bases de datos en Visual Basic 2010

[thegodinez]

Hola a todo el que lea este post, resulta que me leido esto:
http://www.techotopia.com/index.php/Accessing_Databases_Using_Visual_Basic
y todo funciona perfectamente, sin embargo, solamente son filtros estaticos, es decir, los tengo que definir dentro, ahora mi pregunta es (yo se que si existe pero no se como se) ¿Como puede crear filtros dinámicos?, es decir, preguntarle al usuario mediante un MessageBox, TextBox y guardarlo en una variable o algo similar, noto que cuando creo el filtro me agrega la palabra en comillas, y ya intente insertarle directamente un TextBox, sin embargo pasan cosas extrañas cuando los agrego. Otra es que no se en que parte se guarda las instrucciones del FillBy que se crea.
Gracias, trate de ser lo mas claro posible.

[jhonwilliams]

Asi es como yo trabajo los filtros dinamicos:

1. La consulta o ejecucion del procedimiento recibe como paremetro el WHERE, algo como esto:

SELECT campo1, campo2, campo3.... FROM mi_table WHERE @mi_where_dinamico

2. En el formulario tengo X cantidad de Objetos (TextBox, DateTimePicker, Combos, etc) donde el usuario elige los datos a filtrar.

3. Luego recorro los objetos del formulario con un ciclo como lo puedes ver en este post

Y dentro del Ciclo armo el where que segun los datos ingresados por el usario, algo como esto:

Nota: Sintaxis no verificada XD, solo como ejemplo

Código C#:

//Variable para Construir el where, se declara fuera el ciclo
string miWhere = new String();
 
 private void ClearTextBox(Control c) 
{
  if (c.GetType().Name == "TextBox") 
 {
        if(where == "" )
             where  =  c.Text;
        else
             where  +=  c.Text;
  }
  if (c.GetType().Name == "ComboBox") 
 { 
        if(where == "" )
             where  =  c.SelectValue;
        else
             where  += where + c.SelectValue;
 }
  else 
  {
        foreach (Control child in c.Controls)
        ClearTextBox(child);
   }
}
 

Ahora debes tener encuenta que ese codigo es solo para ilustrarte el como lo debes hacer pero no esta completamente funcional por varias razones.

1. En las clausulas WHERE se debe indicar el campo a filtrar.
2. Los datos que son string deben ir en comillas 'dato'
3. Si son numericos sin las comillas.

Teniendo esto en cuenta te comento el siguiente TIP.

TIP: En WindowsForms (no estoy seguro en las ultimas versiones de web, pero creo que tambien) los objetos tienen una propiedad llamada Tag, esa propiedad almacena un object es la que yo utilizo para almarcenar el nombre del campo, asi que estando en el ciclo hago lo siguiente

Código C#:

private void ClearTextBox(Control c) 
{
  if (c.GetType().Name == "TextBox") 
 {
        if(miWhere == "" )
             miWhere =  c.Tag.ToString() + " LIKE '%" + c.Text.Trim() + "%'";
        else
             miWhere += " AND " + c.Tag.ToString() + " LIKE '%" + c.Text.Trim() + "%'";
  }
  if (c.GetType().Name == "ComboBox") 
 { 
     //Codigo para otro tipo de objeto, pero con la misma filosofia del TextBox
 }
  else 
  {
        foreach (Control child in c.Controls)
        ClearTextBox(child);
   }
}
 

Asi me quedaria algo como esto:

Código C#:

WHERE campo1 = 'dato ingresado por el usuario'
 

Y eso se lo envio al procedimiento almacenado que recupera los datos sugen le filtro.

Recuerda visitar el post del ciclo, alla esta el codigo completo, aca solo te mostre una parte.

Saludos

[HaverRamirez]

Siempre hay que tener cuidado con la inyeccion de sql...

[jhonwilliams]

Iniciado por HaverRamirez

Siempre hay que tener cuidado con la inyeccion de sql...

Nos podrias explicar como realizas esa validacion?

Saludos

[HaverRamirez]

Yo generalmente creo un procedimiento con todos los posibles campos de filtro, y despues recorro cada objeto del form y si tiene valor le asigno el valor de lo contrario un Null, entonces en tu procedimiento pones algo asi

select campo1, campo2, campo3 from Campos
where (@FiltroC1 is null or Campo1 = @FiltroC1)
and (@FiltroC2 is null or campo2 = @FiltroC2)

Con esto cada parametro que envio se recibo en el stored como una cadena o entero y se interpreta como tal, si envio un query dynamico se esta propenso a la inyección