更新 ASP.NET 上 sql server 错误的注释

Question

我在 SQL Server 中有一个表 Seatlist：

FlightNo     Origin   1      2     3
---------------------------------------
AK511        PEN      NULL   3     NULL
AK576        KUL      4      7     NULL

以下是我的更新查询：

SqlCommand cmdupdate = new SqlCommand ("update Seatlist 
                                           set 2 = " + SeatNo.Text.ToString() + 
                                       " where ((FlightNo='" + FlightNo.Text.ToString() + "') 
                                           and (Origin='" + Origin.Text.ToString() + "'))", con);

cmdupdate.ExecuteNonQuery();

我也尝试过以下查询：

SqlCommand cmdupdate = new SqlCommand ("update Seatlist 
                                           set 2 = @seat 
                                         where ((FlightNo='" + FlightNo.Text.ToString() + "') 
                                           and (Origin='" + Origin.Text.ToString() + "'))", con);

cmdupdate.Parameters.AddWithValue(@"seat", SeatNo.Text);

但我收到以下错误：

“2”附近的语法不正确。
说明：执行当前 Web 请求期间发生未处理的异常。请查看堆栈跟踪以获取有关错误及其源自代码的位置的更多信息。

异常详细信息：System.Data.SqlClient.SqlException：“2”附近的语法不正确。

Answer 1

您应该避免使用原始输入值进行字符串连接。您为SQL injection 打开了大门，这是某人可以用来破坏您的网络应用程序的最常见方式之一。您应该只使用参数化查询。

您的查询问题取决于使用 2 作为列名。由于 2 是 delimited inentifier，因此您应该使用如下括号：

string commandText = "UPDATE Seatlist " +
                     "SET [2] = @Seat " +
                     "WHERE FlightNo = @FlightNo AND Origin = @Origin";

using (SqlConnection connection = new SqlConnection(connectionString))
{
    SqlCommand command = new SqlCommand(commandText, connection);

    command.Paramters.AddWithValue("@Seat", SeatNo.Text);
    command.Parameters.AddWithValue("@FlightNo", FlightNo.Text);
    command.Parameters.AddWithValue("@Origin", Origin.Text);

    // ... rest of your code
}