spgridview、数据和确保数据安全的正确方法

撇号是过滤器中的一个特殊字符。尝试替换的所有实例 "'" (一个撇号)与 "''" (双撇号)。

编辑09/01/2009

好吧,所以我花的时间比我想象的要长得多。您只需将此添加到Web部件代码:

protected override void OnPreRender(EventArgs e)
{
    if (!string.IsNullOrEmpty(gridDS.FilterExpression))
    {
        _gridDS.FilterExpression = string.Format(
            _grid.FilteredDataSourcePropertyFormat,
            _grid.FilterFieldValue.Replace("'", "''"),
            _grid.FilterFieldName
            );
    }

    base.OnPreRender(e);
}

上面,grid是您的spgridview,grids是objectDatasource类型,我相信这是唯一一种您可以使用spgridview进行过滤的类型。基本上,我认为所发生的是微软代码中有一个bug,它并没有真正给你一个在过滤器表达式中卡住之前验证过滤器值的机会。使用Reflector,我可以发现spgridView实际上只是设置了数据源的filterExpression。它使用反射和您为grid.filteredDatasourcePropertyName属性输入的值来完成此操作(在所有示例中,我总是看到它被设置为“filterExpression”)。

参考文献: http://www.reversealchemy.net/2009/05/24/building-a-spgridview-control-part-2-filtering/