在C#中插入数据到数据库时遇到错误。

11 浏览
0 Comments

在C#中插入数据到数据库时遇到错误。

我正在向数据库插入值，但是当要插入的值中包含撇号时（例如 Jo's），会出现错误。我该如何解决这个问题？

这是我的代码：

SqlDataReader readerReference = cmd_Reference.ExecuteReader();
int loginIndex = readerReference.GetOrdinal("a column");
int DomCodeLoginIndex = readerReference.GetOrdinal("a column");
int dom_domain = readerReference.GetOrdinal("dom_domaine");
int emp_surname = readerReference.GetOrdinal("a column");
int emp_name = readerReference.GetOrdinal("a column");
int srv_name = readerReference.GetOrdinal("a column");
int emp_model_tel = readerReference.GetOrdinal("a column");
int emp_EntryDate = readerReference.GetOrdinal("a column");
int emp_Telephone = readerReference.GetOrdinal("a column");
int emp_Mobile = readerReference.GetOrdinal("a column");
int emp_Email = readerReference.GetOrdinal("a column");
string insert = "INSERT INTO EMP_tracking(emp_login, emp_dom_code, emp_domain, emp_affectation_date, emp_surname" +
    ",emp_name, emp_service,emp_telephone_model" +
    ",emp_entry_date" +
    ",emp_telephone_number" +
    ",emp_cellphone_number" +
    ",emp_email) VALUES ('{0}',{1},'{2}','" + DateTime.Now.ToString("yyyy/MM/dd hh:mm:ss") + "','{3}','{4}','{5}','{6}','{7}','{8}','{9}','{10}')";
string toInsert = string.Format(insert, readerReference.GetString(loginIndex),
                                        readerReference.GetInt32(DomCodeLoginIndex),
                                        readerReference.GetString(dom_domain),
                                        readerReference.GetString(emp_surname),
                                        readerReference.GetString(emp_name),
                                        readerReference.GetString(srv_name),
                                        readerReference.GetString(emp_model_tel),
                                        readerReference.GetDateTime(emp_EntryDate),
                                        readerReference.GetString(emp_Telephone),
                                        readerReference.GetString(emp_Mobile),
                                        readerReference.GetString(emp_Email)
                               );
cmd_Insert.CommandText = toInsert;
cmd_Insert.ExecuteNonQuery();

假设涉及的列是emp_login。如何在其上实施解决方案？

0

3 答案

0 Comments

遇到在C#中插入数据库时出现错误的问题，可能的原因是插入的数据中包含了单引号。可以尝试使用另一个单引号对单引号进行转义处理。这个问题在这里有一个类似的问题。

警告：SQL注入警报。除了通过参数进行数据库操作外，不要允许其他方式的数据库操作。

0
0 Comments

使用参数化查询来解决该问题，并且能够避免SQL注入的风险。以下是解决方法的步骤：

1. 阅读并学习参数化查询的相关知识，可以参考Parameterized queries文档。

2. 查看C-Sharp Database Parameterized Insert Tutorial教程，了解如何在C#中使用参数化查询来插入数据。

3. 根据教程的指导，修改你的代码，将参数化查询应用到插入数据库的操作中。

4. 重新运行程序，检查是否还会出现"Error encountered inserting into a database in C#"的错误提示。

通过以上步骤，你将能够解决在C#中插入数据到数据库时遇到的错误，并且能够保证代码的安全性，避免SQL注入的风险。

0
0 Comments

在C#中插入数据库时遇到错误的原因是使用了字符串拼接来创建SQL语句，而不是使用参数。解决方法是使用参数来构建SQL语句。

这个问题一再出现。你不应该使用字符串拼接来创建SQL语句，而应该使用参数：

string insert = "INSERT INTO EMP_tracking(emp_login, emp_dom_code, emp_domain, emp_affectation_date, emp_surname" +
        ",emp_name, emp_service,emp_telephone_model" +
        ",emp_entry_date" +
        ",emp_telephone_number" +
        ",emp_cellphone_number" +
        ",emp_email) VALUES (_login, _dom_code, //... etc.";
cmd_Insert.Parameters.AddWithValue("_login", readerReference.GetString(loginIndex));
cmd_Insert.Parameters.AddWithValue("_dom_code", readerReference.GetInt32(DomCodeLoginIndex));
//etc...

通过使用参数，可以避免SQL注入攻击，并且使代码更加清晰和易于维护。使用参数可以将值直接传递给SQL语句，而不需要手动构建SQL字符串。这样可以防止用户输入的数据中含有特殊字符或恶意代码导致的错误。

使用参数的好处是数据库可以正确解析输入的值，而不会将其视为SQL语句的一部分。这样可以避免一些常见的错误，例如引号不匹配、特殊字符引起的错误等。

在上述代码示例中，使用了`cmd_Insert.Parameters.AddWithValue`方法来添加参数。该方法接受两个参数，第一个参数是参数名，第二个参数是要传递给SQL语句的值。通过这种方式，可以将值直接传递给SQL语句，而不需要手动构建SQL字符串。

总之，为了避免在C#中插入数据库时遇到错误，应该使用参数来构建SQL语句，而不是使用字符串拼接。使用参数可以提高代码的安全性和可维护性，同时还可以避免一些常见的错误。

0