SQLのあいまい検索とＶＢのreplaceを合わせたい

Question

SQLServerのデータ検索でカードNOをあいまい検索で条件指定して検索したいです。
カードの番号を入力してデータを検索してレコードを重複しないように
取得するシステムを作りたいのですがカード番号はデータ的は16桁ながらカードそのものに記載された番号は6桁のみです。ややこしくて申し訳ないのですが

・1~8桁目は会社のコードで00700000か00710000の2択です。

・9～14桁目はカードに記載されている個別番号で、重複はしません

・15,16桁目はチェックデジットのコードです。

カード記載の9~14桁目を入力するだけでレコードを取得できるようにしたく、ビジュアルスタジオにVBで以下のコードを組みました。DBMSはSQLServerです。

Try

            Dim locSqlStr As String = ""

            Dim loc_dataset As New DataSet
       loc_dataset.Clear()
            Using conn = New SqlConnection(gConnstring)
                conn.Open()
                Using cmd = conn.CreateCommand
                    cmd.CommandText =
                        "
SELECT [CARDNO]
      ,[KINGAKU]
      ,[NAME]
FROM [PREPAID].[dbo].[ZANDAKAMST]
   where CARDNO LIKE '%'+'$CARNO$'+'%'"

    cmd.CommandText = cmd.CommandText.Replace("$CARDNO$", pSYAINCD)
（文字数の関係で以下略）

このコードで起動し、試しに0070000018000390というカードのデータを取得しようとカード記載の6桁180003を入力したところ、データが見つからないというエラー表示が出ました。しかし、カードの16桁すべてを入力したところデータの取得ができました。
SQLServerにて

SELECT [CARDNO]
      ,[KINGAKU]
      ,[NAME]
FROM [PREPAID].[dbo].[ZANDAKAMST]
   where CARDNO LIKE '%'+'180003'+'%'"

と入力し実行してもデータの取得ができたのでwhere CARDNO LIKE '%'+'$CARNO$'+'%'の部分がまずかったのかと思うのですがどうすればよいのでしょうか？

Comments

[YAmaGNZ]

質問はなんなのでしょうか？

[ryuuzu]

申し訳ございません。元の質問が長くてカットされていることに気づいてませんでした。更新いたしました。ＶＢのコードは仰っていただければ提示いたします。

Answer 1

replaceではなく、SQLインジェクション対策されていた方が良いかと思います。
SQLインジェクション対策(ASP.NET,C#,VB.NET編)

Comments

[ryuuzu]

テストサーバーのテストテーブルで作った適当なデータなので大丈夫と思ったのですがまずかったでしょうか？すみません、セキュリティの意識が甘かったようです。

[sazi]

プログラムの作りの話ですから、質問内容のデータに関しては問題無いですよ。

[ryuuzu]

そういう事でしたか。ありがとうございます。

Answer 2

提示されたソースは実際に動作させているコードをコピーしたものですか？
もしそうなのであれば、実行しているcmd.CommandTextをデバッガで確認してみてください。
実際のカード番号（pSYAINCD）に置き換わっていないことが確認できるはずです。
何故置き換わっていないかですが、置き換えようとしている文字をよく確認してみてください。

Comments

[ryuuzu]

こんな簡単なことだったとは・・・！デバッガの存在を知らなかったのでとても助かりました。ありがとうございます！