我的查询在 MySQL 工作台中运行，但不在我的 VB.NET 代码中，我正在尝试将 3 个变量内容加入一行

Question

我有一个读取数据并输入数据库的程序，这是我的查询：

Dim command As New MySqlCommand("UPDATE long_short_parameters SET ativo_compra = '" & ativo_compra & "', ativo_venda = '" & ativo_venda & "', ratio_entrada = '" & ratio_entrada & "', ratio_stop = '" & ratio_stop & "', ratio_alvo_saida = '" & ratio_alvo_saida & "', title_operation = '" & title_operation & "', data_hora = '" & data & "'  WHERE id = '" & id & "'", connection)

我收到此错误消息：

You have an error in your SQL syntax; check the manual that corresponds to your MariaDB server version for the right syntax to use near 'CMIG4 x '03/12/2021 14:30:09 '', data_hora = '03/12/2021 14:30:09',  WHERE id = ' at line 1

但是当我在 mysql 工作台中运行它时，它工作正常（只要我用正确的值替换变量）

14:47:57    UPDATE long_short_parameters SET ativo_compra = 'CMIG4', ativo_venda = 'CSAN3', ratio_entrada = '0.45', ratio_stop = '0.40', ratio_alvo_saida = '0.12', title_operation = 'CMIG4 x CSAN3', data_hora = '03/12/2021 14:30:09'  WHERE id = '13'   1 row(s) affected Rows matched: 1  Changed: 1  Warnings: 0  0.141 sec

这是变量附加其值的地方

Dim id = DataGridView2.Rows(DataGridView2.CurrentCellAddress.Y).Cells(0).Value
        Dim ativo_compra = DataGridView2.Rows(DataGridView2.CurrentCellAddress.Y).Cells(2).Value
        Dim ativo_venda = DataGridView2.Rows(DataGridView2.CurrentCellAddress.Y).Cells(3).Value
        Dim ratio_entrada = DataGridView2.Rows(DataGridView2.CurrentCellAddress.Y).Cells(4).Value
        Dim ratio_stop = DataGridView2.Rows(DataGridView2.CurrentCellAddress.Y).Cells(5).Value
        Dim ratio_alvo_saida = DataGridView2.Rows(DataGridView2.CurrentCellAddress.Y).Cells(6).Value
        Dim data = System.DateTime.Now
        Dim title_operation = "'" & ativo_compra & " x " & ativo_venda & " x " & data & "'"

我的工作取决于此，因此我将不胜感激。

Answer 1

您的查询失败，因为您不使用参数。 您的一个值包含一个或多个单引号，这会使解析器感到困惑，因为它无法理解诸如title = 'CMIG4 x '03/12/2021 14:30:09 ''字符串值从哪里开始以及在哪里开始它结束了吗？

日期周围的单引号会欺骗认为该值在x '之后结束的解析器，然后它遇到一些无法解释为 sql 命令文本的一部分的文本。 （也许是一个部门，但后来......）
因此，唯一明智的选择是始终使用参数化查询，因为这只是连接字符串以形成 sql 命令时可能出现的更简单的问题。

例如，看看Sql Injection hack可以对您的数据库做什么。

这里跟踪你应该如何做。
首先创建命令并从命令文本中删除所有连接。 插入参数占位符而不是带有值的变量。

 Dim command As New MySqlCommand("UPDATE long_short_parameters 
            SET ativo_compra = @ativo, ativo_venda = @venda, 
                ratio_entrada = @ratio_e, ratio_stop = @ratio_s,  
                ratio_alvo_saida = @ratio_as, title_operation = @title, 
                data_hora = @data  WHERE id = @id", connection)

现在您将参数及其值添加到命令中

command.Parameters.Add("@ativo", MySqlDbType.VarChar).Value = ativo_compra
command.Parameters.Add("@venda", MySqlDbType.VarChar).Value = ativo_venda
... and continue with the others parameter placeholders   

最后执行命令

command.ExecuteNonQuery()

请注意，我使用 MySqlDbType.VarChar 来定义参数值类型。 这应该被调整以匹配字段的真实类型。 Visual Studio Intellisense 应该为您提供可用类型的提示。

Answer 2

尝试阅读文档也许......这可能会有所帮助。