sql语法错误-无法将字符串追加到数据库

Question

我目前正在做一个虚拟项目，正在制作一个登录屏幕。 除了学习一些C＃和sql之外，我对这个项目没有太大的打算。

我目前正在尝试将一个新用户追加到包含每个用户名及其密码的数据库中，但是由于某种原因，我收到一条错误消息。

写在文本框中的条目应该存储在数据库中，但是由于某种原因却没有发生。

我收到一条错误消息，指出我有语法错误，我不确定我是否理解。

private void create_user_username_box_Leave(object sender, EventArgs e)
{
     // Add user/password to database when when someone leaves the area. 
     using (DbConnection connection = new SqlConnection(@"Server=localhost\SQLEXPRESS01;Database=master;Trusted_Connection=True;"))
     {
         connection.Open();
         using (DbCommand command = new SqlCommand("INSERT INTO [dbo].[information] (id,password) VALUES ("+create_user_username_textbox.Text+","+create_user_password_textbox.Text+");"))
         {
             command.Connection = connection;
             command.ExecuteNonQuery(); // System.Data.SqlClient.SqlException: 'Incorrect syntax near ')'.'
         }                


    }                
}

Answer 1

永远不要执行以下操作

"INSERT INTO [dbo].[information] (id,password) 
     VALUES (" + someStringVariable + "," + someOtherStringVariable + ")"

只需考虑一下您在这里所做的事情-您就可以将用户直接输入的任何文本放入查询字符串中。 这是删除数据库或数据库中包含的所有信息被盗的最简单方法。

而是使用准备好的语句

     var commandText = "INSERT INTO [dbo].[information] (id,password) VALUES (@Username, @Password)"

     using (var command = new SqlCommand(commandText, connection))
     {
         command.Parameters.Add("@Username", SqlDbType.VarChar).Value = create_user_username_textbox.Text
         command.Parameters.Add("@Password", SqlDbType.VarChar).Value = create_user_password_textbox.Text
         command.ExecuteNonQuery(); 
     } 

您还应该强烈考虑不要以纯文本格式存储密码

更新了建议以替换Parameters.AddWithValue显然，如果数据库上的列类型不同，则进行相应设置

Answer 2

这些值是字符串，因此生成的SQL命令文本应将它们用单引号引起来。

VALUES ('"+create_user_username_textbox.Text+"','"...

但是，您应该真正对查询进行参数设置，以防止潜在的Sql注入攻击。

将字符串更改为：

VALUES (@id,@pw)"))

向命令添加参数：

command.Parameters.Add(new SqlParameter("@id", create_user_username_textbox.Text));
command.Paramaters.Add(new SqlParameter("@pw", create_user_password_textbox.Text));

Answer 3

尝试这个 -

private void create_user_username_box_Leave(object sender, EventArgs e)
{
 // Add user/password to database when when someone leaves the area. 
 using (SqlConnection connection = new SqlConnection(@"Server=localhost\SQLEXPRESS01;Database=master;Trusted_Connection=True;"))
 {
     connection.Open();
     using (SqlCommand command = new SqlCommand("INSERT INTO [dbo].[information] (id,password) VALUES ("+create_user_username_textbox.Text+","+create_user_password_textbox.Text+");"))
     {
         command.Connection = connection;
         command.ExecuteNonQuery(); // System.Data.SqlClient.SqlException: 'Incorrect syntax near ')'.'
     }                


}                
}