无法绑定多部分标识符“System.Web.UI.HtmlControls.HtmlInputText”[重复]

Question

我有一个插入 sql 语句，它使用 SqlCommand 功能来防止 sql 注入，但它给出了错误：无法绑定多部分标识符“System.Web.UI.HtmlControls.HtmlInputText”。我使用相同的 SqlCommand 功能来更新同一个表而没有问题，但是，下面这个简单的插入给出了错误。任何人都可以帮忙吗？

sSql = "INSERT INTO [camss].[dbo].[tb_ds0402req] ( [ds0402_key] ,[lname] ) " +
       "VALUES (" + Session["DS0402Key"] + "," + @VisitorLName + ");";

try
{ 
    using (SqlCommand cmd = new SqlCommand(sSql, conn))
    {
     cmd.Parameters.AddWithValue("@VisitorLName", VisitorLName.Value);
     cmd.ExecuteNonQuery();
    }
}

catch (Exception ex)
{
//error handling code
}

Answer 1

如果确实是这段代码引发了错误，我的猜测是因为你的转义和引用都被抬高了，你最终会得到一个类似的查询

INSERT INTO [camss].[dbo].[tb_ds0402req] ( [ds0402_key] ,[lname] ) 
VALUES (whatever your key is unquoted!, System.Web.UI.HtmlControls.HtmlInputText)

（假设VisitorLName 是HtmlInputText 控件）。您没有添加字符串"@VisitorLName"，因为它不在引号中 - 您正在插入来自VisitorLName.ToString()的返回值...它，AFAIK，返回控件类型的完全限定名称。

(在不带引号的情况下使用@VisitorLName 时不会出错，因为@ 是C# 转义标识符的方式，因此您可以将关键字用作变量名等。就C# 而言，您刚刚说过...+ VisitorLName +... .)

还请注意，您构建 SQL 字符串的方式并没有利用参数，这是防止 SQL 注入的主要功能 - 并简化您的 SQL 构建，启动！如果您要使用参数，请将它们用于每个不是表名或其他值的值。 （对于表/数据库/模式/等名称，您只能靠自己。您不能使用参数来代替这些名称。请阅读：您再次容易受到 SQL 注入的攻击。所以除非您有，否则不要这样做！）

为了解决这个问题，改变你的代码，让它看起来像

sSql = "INSERT INTO [camss].[dbo].[tb_ds0402req] ( [ds0402_key] ,[lname] ) " +
       "VALUES (@DS0402Key, @VisitorLName)";

try
{ 
    using (SqlCommand cmd = new SqlCommand(sSql, conn))
    {
     cmd.Parameters.AddWithValue("@DS0402Key", Session["DS0402Key"]);
     cmd.Parameters.AddWithValue("@VisitorLName", VisitorLName.Value);
     cmd.ExecuteNonQuery();
    }
}
catch (Exception ex)
{
//error handling code
}

此外，找到您将密钥插入会话的位置...并确保您没有插入整个控件（而不仅仅是其值）。