如何修复 MSSQL 上的“无效列名”SQL 异常

Question

我试图在运行时传递要在代码中检查的列名和值。 但是我得到了一个：

“无效的列名”

例外。 代码如下：

cmd = new SqlCommand();
con.Open();
cmd.Connection = con;
cmd.CommandText = "INSERT INTO rezervasyon (Ad,Soyad,TelefonNo,OdaSayisi,KişiSayisi," +
                          "Ucret,Acıklama,GirisTarihi,CikisTarihi,KayitTarihi) VALUES " +
                          "(" + isim + ",'" + soyisim + "','" + telefon + "'," +
                          "'" + oda_sayisi + "','" + kisi_sayisi + "','" + ucret + "'," +
                          "'" + aciklama + "','" + giris_tar + "','" + cikis_tar + "'," +
                          "'" + current_tarih + "')";
cmd.ExecuteNonQuery(); 
con.Close();

Answer 1

你在这里错过了一个单引号" + isim + " ，它应该是'" + isim + "' 。 但是，您应该始终使用参数化查询来避免SQL 注入并摆脱此类错误。

cmd.CommandText = "INSERT INTO rezervasyon (Ad,Soyad,TelefonNo,OdaSayisi,KişiSayisi,Ucret" +
                  ",Acıklama,GirisTarihi,CikisTarihi,KayitTarihi) " +
                  "VALUES (@isim, @soyisim , ...)";
cmd.Parameters.AddWithValue("@isim", isim);
cmd.Parameters.AddWithValue("@soyisim", soyisim);
//Other parameters

虽然直接指定类型并使用Value属性比AddWithValue更好：

cmd.Parameters.Add("@isim", SqlDbType.VarChar).Value = isim;

我们可以停止使用 AddWithValue() 了吗？