使用文本框更新 sql 数据库中的密码

Question

使用 ASP.NET 和 VB.NET 我尝试更新用户密码，它等于 sessionID

数据库使用的是 SQL Local。

这是 vb .net 代码

    Dim pass As String
    pass = tboxConFirmPass.Text

    Dim connce As SqlCeConnection = New SqlCeConnection(ConfigurationManager.ConnectionStrings("ConnectionString").ToString())
    connce.Open() 'make the connection to DB
    Dim sqlCommand As String = "UPDATE [tbCustomer] SET [Password] = ('" _
                            + tboxConFirmPass.Text + "', '" + "WHERE [CustomerID] = @CustomerID" + "')"

    Dim cmd As SqlCeCommand = New SqlCeCommand(sqlCommand, connce)
    cmd.ExecuteNonQuery()

    connce.Close()
    MsgBox("Your Password has been chaged.")

End Sub

这里是SqlDataSource

UpdateCommand="UPDATE [tbCustomer] SET [Password] = @Password WHERE [CustomerID] = @CustomerID">

错误 = 解析查询时出错。 [令牌行号=1，令牌行偏移量=42，错误令牌=，]

Answer 1

是的，您的查询需要更改：

Dim sqlCommand As String = "UPDATE [tbCustomer] SET [Password] = '" _
                            & Replace(tboxConFirmPass.Text, "'", "''") & "' WHERE [CustomerID] = @CustomerID"

我已经对你的括号和引号不匹配进行了排序，将字符串连接运算符更改为 & 并放入转义符以减少 SQL 注入漏洞的可能性（如果有人在他们的密码中加上单引号，你的查询将不再跌倒，或更糟）。

要为@CustomerID 设置一个值，您需要向命令对象添加一个SQL 参数。如果您不给它一个值，您将收到评论中提到的错误。或者，您可以像使用密码一样连接值：

Dim sqlCommand As String = "UPDATE [tbCustomer] SET [Password] = '" _
                                & Replace(tboxConFirmPass.Text, "'", "''") & "' WHERE [CustomerID] = " & CustomerID

请注意，您需要使用一个以更改密码的客户 ID 进行初始化的变量。