使用 C# 在 MySQL 中更新语句

Question

我一直在为我的工作场所构建一个小型库存系统，但偶然发现了一个我似乎无法修复的错误

 private void Update(string num,string name, string quant, string location, string category, string numquery)
    {
       // "UPDATE Inventory SET Inventorynumber='"+ num +"',Inventory_Name='"+name+"', Quantity ='"+ quant+"',Location ='"+ location+"' Category ='"+ category+"' WHERE Inventorynumber ='"+ numquery +"';";
        string query = "UPDATE Inventory SET Inventorynumber='" + Convert.ToInt16(num) + "',Inventory_Name='" + name + "', Quantity ='" + quant + "',Location ='" + location + "' Category ='" + category + "' WHERE Inventorynumber ='" + Convert.ToInt16(numquery) + "'";
        if (this.OpenConnection() == true)
        {
            MySqlCommand cmd = new MySqlCommand();
            cmd.CommandText = query;
            cmd.Connection = serverconnection;
            cmd.ExecuteNonQuery();
            this.CloseConnection();
            Bind();
        }
    }

我不知道这里要改变什么。 任何帮助将不胜感激。

Answer 1

问题：您在查询中缺少location参数后的comma 。
解决方案：您需要使用comma分隔parameters 。

建议：使用parameterized queries来避免SQL Injection Attacks 。

试试这个：

private void Update(string num,string name, string quant, string location, string category, string numquery)
    {
       // "UPDATE Inventory SET Inventorynumber='"+ num +"',Inventory_Name='"+name+"', Quantity ='"+ quant+"',Location ='"+ location+"' Category ='"+ category+"' WHERE Inventorynumber ='"+ numquery +"';";
        string query = "UPDATE Inventory SET Inventorynumber=@Inventorynumber,Inventory_Name=@Inventory_Name, Quantity =@Quantity ,Location =@Location,Category =@Category WHERE Inventorynumber =@Inventorynumber";
        if (this.OpenConnection() == true)
        {
            MySqlCommand cmd = new MySqlCommand();
            cmd.CommandText = query;
            cmd.Parameters.AddWithValue("@Inventorynumber",Convert.ToInt16(num));
            cmd.Parameters.AddWithValue("@Inventory_Name",name);
            cmd.Parameters.AddWithValue("@Quantity",quant);
            cmd.Parameters.AddWithValue("@Location",location);
            cmd.Parameters.AddWithValue("@Category",category);
            cmd.Parameters.AddWithValue("@Inventorynumber",Convert.ToInt16(numquery));
            cmd.Connection = serverconnection;
            cmd.ExecuteNonQuery();
            this.CloseConnection();
            Bind();
        }
    }

Answer 2

您在位置和类别之间缺少逗号。 在我知道之前，您已经听过一百万次了，但是使用准备好的语句确实要好得多，因此您不必处理此类事情并且您的代码更具可读性。

Answer 3

是的，错误在于缺少的逗号，但这是所有字符串连接混乱的结果，这些字符串连接总是以微妙的语法错误结束。
为什么不使用参数化查询？ 编写起来要简单得多，并且可以避免像这样的解析错误，并且（更重要的是）可以避免 Sql 注入

private void Update(string num,string name, string quant, string location, string category, string numquery)
{
    string query = "UPDATE Inventory SET Inventorynumber=@num, Inventory_Name=@name, " +
                   "Quantity =@qty,Location =@loc, Category =@cat " + 
                   "WHERE Inventorynumber =@numquery";
    if (this.OpenConnection() == true)
    {
        MySqlCommand cmd = new MySqlCommand(query, serverconnection);
        cmd.Parameters.AddWithValue("@num", Convert.ToInt16(num));
        cmd.Parameters.AddWithValue("@name", name);
        cmd.Parameters.AddWithValue("@qty", quant);
        cmd.Parameters.AddWithValue("@loc", location);
        cmd.Parameters.AddWithValue("@cat", category);
        cmd.Parameters.AddWithValue("@numquery", Convert.ToInt16(numquery));
        cmd.ExecuteNonQuery();
        this.CloseConnection();
        Bind();
    }
}

作为旁注，我对某些参数类型有一些疑问。 您确定数量真的是一个字符串，正如您的原始值周围的引号所暗示的那样吗？ 此外numquery和num变量是字符串类型，您尝试将其转换为短整数，然后将它们放在引号内（这意味着在数据库中字段是文本类型）。 这完全没有意义。 如果数据库需要数字，则不要使用引号，如果数据库需要字符串，则不要尝试转换。 使用参数化查询迫使您反思这些问题的另一个原因。

Answer 4

你错过了逗号

Location ='" + location + "', Category ='" + category + "'
//  see the `,` between Location and Category

Answer 5

您在查询中遗漏了逗号（，）：

string query = "UPDATE Inventory SET Inventorynumber='" + Convert.ToInt16(num) + "',Inventory_Name='" + name + "', Quantity ='" + quant + "',Location ='" + location + "' Category ='" + category + "' WHERE Inventorynumber ='" + Convert.ToInt16(numquery) + "'";

将其设为：

string query = "UPDATE Inventory SET Inventorynumber='" + Convert.ToInt16(num) + "',Inventory_Name='" + name + "', Quantity ='" + quant + "',Location ='" + location + "', Category ='" + category + "' WHERE Inventorynumber ='" + Convert.ToInt16(numquery) + "'";

Answer 6

尝试删除整数周围的'单引号？