ارسال شرط برای PROCEDURE

[nader.golab]

سلام خسته نباشید.
از آکادمی لرن فایلز مراجعه می کنم.
سوالم در مورد stored procedure هستش.
من این رو ساختم


create PROCEDURE _Customer2
AS

BEGIN

SELECT ID_Cust, NameCo_Cust, FLName_Cust, Adress_Cust, NumberRoute_Cust, Tel1_Cust
FROM dbo.tbl_Customer where
END



حالا می خوام که بعد از where هر ایتمی رو که می خوام مورد جستجو قرار بدم. البته ایتمها باید از C#‎‎‎‎‎‎ ارسال بشه به PROCEDURE .
چی کار کنم
ممنون

[ASKaffash]

سلام
باید از Dynamic SQL استفاده کنید البته با رعایت حمله Injection

[nader.golab]

می تونین با مثال توضیح بدین.و منظور از حمله...

[ASKaffash]

سلام
مشابه شکل ذیل عمل کنید بعد موضوع حمله را توضیح خواهم داد :

Create Proc MyDynamicSQL
@Where nVarChar(Max)
As
Declare @Cmd nVarChar(Max)=''
Set @Cmd=@Cmd+' Select *'
Set @Cmd=@Cmd+' From T'
if @Where<>''
Set @Cmd=@Cmd+' Where '+@Where
Exec(@Cmd)