插入語句不起作用

Question

大家好，我的代碼沒有錯誤，但是當我嘗試下面的插入語句時，似乎什么也沒發生？
不知道它是如何包裝文本框還是它的FriendID查詢字符串？

    protected void Button1_Click(object sender, EventArgs e)
    {
        string friendid = Request.QueryString["FriendID"];
        string theUserId = Session["UserID"].ToString();
        using (OdbcConnection cn = new OdbcConnection("Driver={MySQL ODBC 3.51 Driver}; Server=localhost; Database=***; User=***; Password=***;"))
        {
            cn.Open();
            using (OdbcCommand cmd = new OdbcCommand("INSERT INTO WallPosting (UserID, Wallpostings, FriendUserID) VALUES (" + friendid + ", '" + TextBox1.Text + "', " + theUserId + ")", cn))
            {
                cmd.ExecuteNonQuery();
            }
        }
        PopulateWallPosts(friendid);
    }
}

Answer 1

您根據字段名稱切換了變量，它應該是：

using (OdbcCommand cmd = new OdbcCommand("INSERT INTO WallPosting (UserID, Wallpostings, FriendUserID) VALUES (" + theUserId + ", '" + TextBox1.Text + "', " + friendid  + ")", cn))

新的記錄已添加，但對於錯誤的用戶，所以你后來沒有重裝職位時找到它。

如您所知，已經通過使用Parameters而不是直接將值添加到SQL字符串來處理SQL注入風險。

Answer 2

"INSERT INTO WallPosting (UserID, Wallpostings, FriendUserID) VALUES (" + friendid + ", '" + TextBox1.Text + "', " + theUserId + ")"

變

"INSERT INTO WallPosting (UserID, Wallpostings, FriendUserID) VALUES ('" + friendid + "', '" + TextBox1.Text + "', '" + theUserId + "')"

必須使用單引號將字符串限定。 否則，解析器會將它們視為變量。