SQL查询执行难度

Question

我正在从应用程序添加学生时进行验证。如果我运行以下查询

SELECT ID FROM Student WHERE Name =' " '+str+' " '

会产生如下错误：

列名“str”无效。

我的应用程序将生成 DBException。

我该如何解决这个问题？

编辑

String SName=txtBox1.Text;

String sql="select id from student where name = ' "+SName.Trim()+" ' ";

SqlConnection connection = null;
SqlDataReader reader = null;
try
{
    connection = GetConnection();
    SqlCommand command = new SqlCommand(sql, connection);
    if (_sqltransection != null)
    {
        command.Transaction = _sqltransection;
    }
    reader = command.ExecuteReader(CommandBehavior.CloseConnection);
}            
catch (SqlException ex)
{
    throw new DBException(ex);
}

在哪里txtBox.Text=" '+str+' "

Answer 1

真的，您正在向您的 dbms 发送此查询

SELECT ID FROM Student WHERE Name ='' divyesh '' 

您的 dbms 可以正确解释 sql 到

SELECT ID FROM Student WHERE Name ='' 

然后找到

divyesh ''

它首先尝试知道 divyesh 它是否是 Student 表的一列，因为它不会引发错误，你会在应用程序异常中看到......

要更正此错误，您应该在应用中的动态查询中将作为过滤器传递的字符串双引号：

SELECT ID FROM Student WHERE Name =' "''+str+''" '

通常，在编写动态查询时，您的情况会被阻止，将“str”过滤器参数提交给某个辅助方法，该方法检查是否存在某些单引号并最终将它们加倍。

对于所说的内容，这是一个（C# 或 Java）微不足道的解决方案：

"SELECT ID FROM Student WHERE Name ='" + str.Replace("'", "''") + "' "

但是我发现在数据库中很难将“名称”字段存储在单引号之间，所以我想知道您打算做什么..

不管你在做什么，在过滤字段中使用单引号，它也是sql注入攻击的一个元素。.

您应该绝对避免这种动态查询，并在您的代码中使用一些基于带有参数的 sql 查询语句的对象模型的 api，然后将输入过滤器传递给“包含”您的查询的对象，实例化参数对象。

在采购订单中澄清后更新

String SName = null;

if(!string.IsNullOrEmpty(txtBox1.Text))    
     SName = txtBox1.Text.trim();


String sql="select id from student where name = @paramName";

SqlConnection connection = null;
SqlDataReader reader = null;
try
{
    connection = GetConnection();
    SqlCommand command = new SqlCommand(sql, connection);

    SqlParameter param = new SqlParameter("@paramName", SqlDbType.NVarChar, 50);
    param.Value = SName ?? SqlString.Null;
    command .Parameters.Add(param);

    if (_sqltransection != null)
    {
        command.Transaction = _sqltransection;
    }
    reader = command.ExecuteReader(CommandBehavior.CloseConnection);
}            
catch (SqlException ex)
{
    throw new DBException(ex);
}

请注意，SqlDbType.NVarChar, 50 指的是您的数据库字段“名称”的数据类型（我想是一个 varchar），因此它的类型和长度应该相等（对于“名称”字段应该去50个字符），无论如何，参数输入过滤器的长度越低越好

Answer 2

我同意之前的回答。在这种情况下，您必须使用Prepared Statements。 在this 页面您可以找到示例

Answer 3

首先，您的查询结果无效，因为双引号用于数据库对象名称，而不是字符串文字："divyesh" 是列名，'divyesh' 是字符串。您需要第二个，所以将双引号改为单引号。

其次，永远不要使用用户输入来构造这样的 SQL 语句。如果你的用户选择了一个名字"'; DROP DATABASE yourdb; SELECT '"，你的数据库就消失了。阅读有关“SQL 注入”主题的更多信息。

Answer 4

SELECT ID FROM Student WHERE Name =' " '+'divyesh'+' " '

但是没有意义……

也许你会喜欢这样的东西：

SELECT ID FROM Student WHERE Name like '%divyesh%'

如果要在字符串中添加单个 cuotes：

SELECT '''hello'''