System.Data.SqlClient.SqlException：''）附近的语法不正确。'

Question

我在代码中找不到错误，但显示给我

System.Data.SqlClient.SqlException：'附近的语法不正确'）

SqlCommand myCommand = new SqlCommand(" insert into" +
    " INTERVALDATA4(SerialNumber, TimeStamp, MeterData, ) " +
    "values(" + meterReading.SerialNumber + ", '" + reading.TimeStamp.ToString()
    + "'," + reading.RawReading +");", myConnection);
myCommand.ExecuteNonQuery();

有什么错误，如何解决该问题，请帮帮我吗？ 谢谢

Answer 1

更换INTERVALDATA4(SerialNumber, TimeStamp, MeterData, )与INTERVALDATA4(SerialNumber, TimeStamp, MeterData)因为你有一个额外的逗号。 我可以看到用'括起来的一些额外参数，但是如果您仍然遇到此问题，请尝试将所有参数都用'括起来。

无论如何，我会考虑使用SqlParameter传递参数而不是原始查询，因为您可以通过这种方式进行sql注入。

Answer 2

为了更容易发现错别字并避免SQL注入，请考虑像这样对查询进行参数化：

string myQuery = "INSERT INTO INTERVALDATA4(SerialNumber, TimeStamp, MeterData) VALUES (@serialNumber, @timeStamp, @rawReading)";
SqlCommand myCommand = new SqlCommand(myQuery, myConnection);
myCommand.Parameters.Add("@serialNumber", meterReading.SerialNumber);
myCommand.Parameters.Add("@timeStamp", reading.TimeStamp.ToString());
myCommand.Parameters.Add("@rawReading", reading.RawReading);

myCommand.ExecuteNonQuery();