“查询值和目标字段的数量不一样”

Question

try
{
        connection.Open();
        OleDbCommand komanda = new OleDbCommand();
        command.Connection = konekcija;
        command.CommandText = "insert into EmployeeData (FirstName,LastName,Pay) values('"+txt_fname.Text+"','"+txt_lname.Text+"','"+txt_pay.Text+"')";
        command.ExecuteNonQuery();
        MessageBox.Show("data saved");
        connection.Close();
}
catch (Exception ex)
{
       MessageBox.Show("error"+ex);
}

Answer 1

问题的根源在于您实际上并不知道您正在执行什么查询。因为您正在执行用户发送给您的任何代码。

在大多数非边缘情况下，这 似乎“工作得很好”（这就是为什么它经常被忽视的原因），在某些情况下，它会导致查询中出现语法或结构错误（即这里发生了什么），并且在某些情况下，用户会利用它在您的数据库上执行任意代码。

这称为SQL injection 漏洞。

您可以通过使用将用户输入视为值而不是可执行代码的查询参数来纠正此问题。像这样的：

command.CommandText = "insert into EmployeeData (FirstName,LastName,Pay) values(?,?,?)";
command.Parameters.Add("@FirstName", OleDbType.VarChar, 50).Value = txt_fname.Text;
command.Parameters.Add("@LastName", OleDbType.VarChar, 50).Value = txt_lname.Text;
command.Parameters.Add("@Pay", OleDbType.VarChar, 50).Value = txt_pay.Text;
command.ExecuteNonQuery();

请注意，我已经猜到了 OleDbType 和列的大小。根据您的表结构进行必要的调整。