// ❌ ВРАЗЛИВИЙ КОД — ніколи не робіть так!
Console.Write("Введіть назву товару для пошуку: ");
string userInput = Console.ReadLine()!;

string sql = $"SELECT Id, Name, Price FROM Products WHERE Name = '{userInput}'";
using SqlCommand command = new SqlCommand(sql, connection);
using SqlDataReader reader = command.ExecuteReader();

SELECT Id, Name, Price FROM Products WHERE Name = 'Ноутбук'

// ❌ ВРАЗЛИВИЙ КОД ЛОГІНУ
string username = "admin";
string password = "' OR '1'='1";  // ← введення зловмисника

string sql = $"SELECT * FROM Users WHERE Username = '{username}' AND Password = '{password}'";
// Результат:
// SELECT * FROM Users WHERE Username = 'admin' AND Password = '' OR '1'='1'

// Зловмисник вводить:
string userInput = "'; DROP TABLE Products; --";

string sql = $"SELECT * FROM Products WHERE Name = '{userInput}'";
// Результат:
// SELECT * FROM Products WHERE Name = ''; DROP TABLE Products; --'

// Зловмисник вводить:
string userInput = "' UNION SELECT Id, Username, Password FROM Users --";

string sql = $"SELECT Id, Name, Price FROM Products WHERE Name = '{userInput}'";
// Результат:
// SELECT Id, Name, Price FROM Products WHERE Name = ''
// UNION SELECT Id, Username, Password FROM Users --'

// ✅ БЕЗПЕЧНИЙ КОД — параметризований запит
Console.Write("Введіть назву товару для пошуку: ");
string userInput = Console.ReadLine()!;

string sql = "SELECT Id, Name, Price FROM Products WHERE Name = @ProductName";
using SqlCommand command = new SqlCommand(sql, connection);

// Додаємо параметр — значення передається ОКРЕМО від SQL-коду
command.Parameters.AddWithValue("@ProductName", userInput);

using SqlDataReader reader = command.ExecuteReader();

command.Parameters.AddWithValue("@Name", "Ноутбук");

using System;
using Microsoft.Data.SqlClient;

string connectionString = "Server=localhost;Database=ShopDb;Trusted_Connection=True;TrustServerCertificate=True;";
using SqlConnection connection = new SqlConnection(connectionString);
connection.Open();

// === CREATE (INSERT з параметрами) ===
int InsertProduct(string name, decimal price, int quantity, string? description)
{
    string sql = @"
        INSERT INTO Products (Name, Price, Quantity, Description)
        VALUES (@Name, @Price, @Quantity, @Description);
        SELECT CAST(SCOPE_IDENTITY() AS INT);";

    using SqlCommand cmd = new SqlCommand(sql, connection);
    cmd.Parameters.Add("@Name", SqlDbType.NVarChar, 100).Value = name;
    cmd.Parameters.Add("@Price", SqlDbType.Decimal).Value = price;
    cmd.Parameters.Add("@Quantity", SqlDbType.Int).Value = quantity;
    cmd.Parameters.Add("@Description", SqlDbType.NVarChar, 500).Value =
        (object?)description ?? DBNull.Value;

    return Convert.ToInt32(cmd.ExecuteScalar());
}

// === READ (SELECT з параметрами) ===
void SearchProducts(string searchTerm, decimal? minPrice, decimal? maxPrice)
{
    string sql = @"
        SELECT Id, Name, Price, Quantity
        FROM Products
        WHERE Name LIKE @Search
          AND (@MinPrice IS NULL OR Price >= @MinPrice)
          AND (@MaxPrice IS NULL OR Price <= @MaxPrice)
        ORDER BY Price";

    using SqlCommand cmd = new SqlCommand(sql, connection);
    cmd.Parameters.Add("@Search", SqlDbType.NVarChar, 100).Value = $"%{searchTerm}%";
    cmd.Parameters.Add("@MinPrice", SqlDbType.Decimal).Value =
        (object?)minPrice ?? DBNull.Value;
    cmd.Parameters.Add("@MaxPrice", SqlDbType.Decimal).Value =
        (object?)maxPrice ?? DBNull.Value;

    using SqlDataReader reader = cmd.ExecuteReader();
    while (reader.Read())
    {
        Console.WriteLine($"  [{reader.GetInt32(0)}] {reader.GetString(1)}: {reader.GetDecimal(2):C}");
    }
}

// === UPDATE (з параметрами) ===
int UpdatePrice(int productId, decimal newPrice)
{
    string sql = "UPDATE Products SET Price = @Price WHERE Id = @Id";

    using SqlCommand cmd = new SqlCommand(sql, connection);
    cmd.Parameters.Add("@Price", SqlDbType.Decimal).Value = newPrice;
    cmd.Parameters.Add("@Id", SqlDbType.Int).Value = productId;

    return cmd.ExecuteNonQuery();
}

// === DELETE (з параметрами) ===
int DeleteProduct(int productId)
{
    string sql = "DELETE FROM Products WHERE Id = @Id";

    using SqlCommand cmd = new SqlCommand(sql, connection);
    cmd.Parameters.Add("@Id", SqlDbType.Int).Value = productId;

    return cmd.ExecuteNonQuery();
}

// Використання
int id = InsertProduct("Монітор 4K", 18999.99m, 10, "32 дюйми, IPS");
Console.WriteLine($"Створено товар Id={id}");

Console.WriteLine("\nПошук 'Монітор':");
SearchProducts("Монітор", null, null);

UpdatePrice(id, 16999.99m);
Console.WriteLine($"\nОновлено ціну для Id={id}");

DeleteProduct(id);
Console.WriteLine($"Видалено товар Id={id}");

using Microsoft.Data.SqlClient;

string connectionString = "Server=localhost;Database=ShopDb;Trusted_Connection=True;TrustServerCertificate=True;";
using SqlConnection connection = new SqlConnection(connectionString);
connection.Open();

// Налаштування команди для виклику процедури
using SqlCommand command = new SqlCommand("sp_SearchProducts", connection);
command.CommandType = CommandType.StoredProcedure; // ← Обов'язково!

// Додаємо вхідні параметри
command.Parameters.Add("@SearchTerm", SqlDbType.NVarChar, 100).Value = "Ноутбук";
command.Parameters.Add("@MinPrice", SqlDbType.Decimal).Value = 1000m;
// @MaxPrice — не додаємо, використовується DEFAULT (NULL)

using SqlDataReader reader = command.ExecuteReader();
while (reader.Read())
{
    Console.WriteLine($"  [{reader.GetInt32(0)}] {reader.GetString(1)}: {reader.GetDecimal(2):C}");
}

using Microsoft.Data.SqlClient;

string connectionString = "Server=localhost;Database=ShopDb;Trusted_Connection=True;TrustServerCertificate=True;";
using SqlConnection connection = new SqlConnection(connectionString);
connection.Open();

using SqlCommand command = new SqlCommand("sp_InsertProduct", connection);
command.CommandType = CommandType.StoredProcedure;

// Вхідні параметри
command.Parameters.Add("@Name", SqlDbType.NVarChar, 100).Value = "Навушники TWS";
command.Parameters.Add("@Price", SqlDbType.Decimal).Value = 3499.99m;
command.Parameters.Add("@Quantity", SqlDbType.Int).Value = 50;

// OUTPUT-параметр — Direction = Output!
SqlParameter outputId = command.Parameters.Add("@NewId", SqlDbType.Int);
outputId.Direction = ParameterDirection.Output;

// Виконуємо процедуру
command.ExecuteNonQuery();

// Читаємо значення OUTPUT-параметра ПІСЛЯ виконання
int newProductId = (int)outputId.Value;
Console.WriteLine($"Новий товар створено з Id = {newProductId}");

using SqlCommand command = new SqlCommand("sp_GetProductCount", connection);
command.CommandType = CommandType.StoredProcedure;

// Вхідний параметр
command.Parameters.Add("@MinPrice", SqlDbType.Decimal).Value = 500m;

// Параметр для RETURN VALUE
SqlParameter returnParam = command.Parameters.Add("@ReturnValue", SqlDbType.Int);
returnParam.Direction = ParameterDirection.ReturnValue;

command.ExecuteNonQuery();

int productCount = (int)returnParam.Value;
Console.WriteLine($"Товарів з ціною >= 500: {productCount}");

// Спосіб: Динамічна генерація параметрів для IN
int[] ids = { 1, 3, 5, 7 };

// Генеруємо @p0, @p1, @p2, @p3
string[] paramNames = ids.Select((_, i) => $"@p{i}").ToArray();
string sql = $"SELECT * FROM Products WHERE Id IN ({string.Join(", ", paramNames)})";
// Результат: SELECT * FROM Products WHERE Id IN (@p0, @p1, @p2, @p3)

using SqlCommand command = new SqlCommand(sql, connection);
for (int i = 0; i < ids.Length; i++)
{
    command.Parameters.Add(paramNames[i], SqlDbType.Int).Value = ids[i];
}

using SqlDataReader reader = command.ExecuteReader();

// Правильна передача NULL
string? description = null;

// ❌ НЕПРАВИЛЬНО — кине помилку, бо SqlParameter.Value не приймає null
// command.Parameters.Add("@Desc", SqlDbType.NVarChar, 500).Value = description;

// ✅ ПРАВИЛЬНО — використовуємо DBNull.Value
command.Parameters.Add("@Desc", SqlDbType.NVarChar, 500).Value =
    (object?)description ?? DBNull.Value;

// ✅ Або хелпер-метод
static object ToDbValue(object? value) => value ?? DBNull.Value;
command.Parameters.Add("@Desc", SqlDbType.NVarChar, 500).Value =
    ToDbValue(description);