命令参数

Question

如何更正将参数发送到oledb query ？

我的代码是

cmd.CommandText = "UPDATE @target SET [@columnname] = Replace([@columnname], Chr(10), '');";

cmd.Parameters.Add(new OleDbParameter("@target", OleDbType.VarChar)).Value = tb_tablename.Text.Trim();
cmd.Parameters.Add(new OleDbParameter("@columnname", OleDbType.VarChar)).Value = column.ColumnName;

而且它不起作用）。 我需要添加查询@target （表名）和@columnname （列名）。

修改为代码？

cmd.CommandText = "UPDATE ? SET [?] = Replace([?], Chr(10), '');";

cmd.Parameters.Add(new OleDbParameter("@target", OleDbType.VarChar)).Value = tb_tablename.Text.Trim();
cmd.Parameters.Add(new OleDbParameter("@columnname", OleDbType.VarChar)).Value = column.ColumnName;
cmd.Parameters.Add(new OleDbParameter("@columnname", OleDbType.VarChar)).Value = column.ColumnName;

得到错误：

更新语句中的语法错误

连接样式出错

string query = "UPDATE " + tb_tablename.Text.Trim() + " SET [" + column.ColumnName + "] = Replace([" + column.ColumnName + "], Chr(10), '');";

条件表达式中的数据类型不匹配

完整代码：

DataTable dt = new DataTable();
using (OleDbDataAdapter adapter = new OleDbDataAdapter("SELECT * FROM " + tb_tablename.Text, conn))
{
    adapter.Fill(dt);
}

foreach (DataColumn column in dt.Columns)
{
    if (column.DataType == typeof(String))
    {
        if (column.ColumnName != "ID1" && column.ColumnName != "ID" && column.ColumnName != "Geometry" && column.ColumnName != "Geometry_SK")
        {
            string query = "UPDATE " + tb_tablename.Text.Trim() + " SET [" + column.ColumnName + "] = Replace([" + column.ColumnName + "], Chr(10), '');";

        using (OleDbCommand cmd = new OleDbCommand(query, conn))
        {
            cmd.ExecuteNonQuery();
        }
    }
}
}

有什么帮助： string query = "UPDATE " + tb_tablename.Text.Trim() + " SET " + column.ColumnName + " = Replace(" + column.ColumnName + ", Chr(10), \"\") WHERE " + column.ColumnName + " <> \"\";";

空白数据 + 保留列名破坏了一切。 ColumnNames Date,Type,Note 破坏了所有 - 从循环中排除它。

Answer 1

您收到语法错误，因为无法将 SQL 标识符（表名、列名等）作为参数。 只有值可以参数化

因此，您的查询必须如下所示：

cmd.CommandText = "UPDATE "+tb_tablename.Text+" SET ["+...+"] = Replace(["+...+"], Chr(10), '');";

切勿将用户提供的值连接到 SQL 中。 因为在这种情况下，您被迫将取值和列名连接起来，所以您绝对应该确保只提供安全值。 理想情况下，您应该采用为表名和列名提供的值，并拥有很多所有表名和列名（您可以查询数据库），并且仅在提供的值在该列表中时才允许构建 sql

这是一个非常不寻常的要求——这里几乎没有人试图参数化表名等。如果您正在尝试编写某种迷你库以使您的数据访问生活更轻松，我建议您使用像 Dapper这样已经存在的库

Answer 2

您在评论中表示您正在尝试以最小的努力对数据库中的所有列运行替换。 为此，您可以考虑以下事项：

• 使用 DbConnection object 的 GetSchema 方法获取数据库中的表列表
• 在它上面循环，将表名的字符串 sql 连接到 "SELECT * FROM "+tablename+" WHERE 1=0" 并使用 DataAdapter 运行此 sql 以返回一个包含目标表所有列的空数据表
• 循环从上述 select 返回的 datatable.Columns 集合，运行 REPLACE sql，通过字符串 concat 替换表和列名称（它是安全且不可破解的，因为您检索了列表并且没有连接用户提供的值
• 如果您有非字符串列（日期、整数），则检查 DataColumn 的数据类型，如果它是字符串/varchar 或类似的，则仅运行替换

有用的网址：

https://docs.microsoft.com/en-us/dotnet/framework/data/adonet/getschema-and-schema-collections

https://sizious.com/2015/05/11/how-to-load-an-access-database-into-a-dataset-object-in-c/ - 分道扬镳 - 为这个人添加 where 子句代码以便不返回任何行（您只需要列）

Answer 3

您不能用参数替换表名和列名。

参数只能应用如下：

UPDATE SomeTable SET SomeColumn = ?

最好允许用户从带有现成值的 Comboboxes/ListBoxes 中选择表和列的名称。 像这样的东西：

var table = tablesComboBox.SelectedItem;
var column = columnsComboBox.SelectedItem;

var query = "UPDATE " + table + " SET " + column +
            " = Replace(" + column + ", Chr(10), '''');";

请注意，您必须转义单引号字符。