不断收到 System.Data.SqlClient.SqlException：'';' 附近的语法不正确。'

Question

我已经阅读了这个论坛中提供的关于这个问题的许多问题和答案，应用了许多不同的方法并多次更改我的代码，我什至不记得原来的了。

我在以下行中不断收到此错误：

SqlDataReader dr;

错误是

System.Data.SqlClient.SqlException: '';' 附近的语法不正确。'

我在这方面完全是个菜鸟，我是自学的，所以我道歉。

这是在 App.Config 中

<connectionStrings>
    <add name="ConnectionString" connectionString="Data Source=(LocalDB)\MSSQLLocalDB;Initial Catalog=SolAquaMasterDdata;Integrated Security=True"
        providerName="System.Data.SqlClient" />
</connectionStrings>

我在主窗体上的代码：

using System;
using System.Collections.Generic;
using System.Linq;
using System.Text;
using System.Threading.Tasks;
using System.Windows;
using System.Windows.Controls;
using System.Windows.Data;
using System.Windows.Documents;
using System.Windows.Input;
using System.Windows.Media;
using System.Windows.Media.Imaging;
using System.Windows.Navigation;
using System.Windows.Shapes;
using System.Data.SqlClient;
using System.Data;
using System.Configuration;

namespace SolTry
{
    /// <summary>
    /// Interaction logic for MainWindow.xaml
    /// </summary>
    public partial class MainWindow : Window
    {
        SqlConnection conn = new SqlConnection();
        SqlCommand cmd = new SqlCommand();
        
        public MainWindow()
        {
            InitializeComponent();
            conn.ConnectionString = ConfigurationManager.ConnectionStrings["ConnectionString"].ConnectionString.ToString();
        }

        private void BtnLogin_Click(object sender, RoutedEventArgs e)
        {
            string User = txtUsername.Text;
            string Pass = txtPassword.Password;

            string str1 = "Please enter a valid Username and Password.";
            string str2 = "The credentials entered do not match any registed users.";
            string str3 = "These login credentials are correct.";

            conn.Open();
            cmd.Connection = conn;
            SqlDataReader dr;
            cmd.CommandText = ("SELECT Status, UserName, Password FROM tblUsers WHERE UserName = @Username and Password = @Password;");
            using (conn)
            {
                //help add parameterization - missing 
                dr = cmd.ExecuteReader();

                if ((string.IsNullOrEmpty(User)) && (string.IsNullOrEmpty(Pass)))
                {
                    MessageBox.Show(str1, "NO CREDENTIALS ENTERED", MessageBoxButton.OK, MessageBoxImage.Error);
                }

                if ((string.IsNullOrEmpty(User)) == false && (string.IsNullOrEmpty(Pass)) == false)
                {
                    if (dr.HasRows.Equals(true))
                    {
                        MessageBox.Show(str3, "LOGIN SUCCESSFUL", MessageBoxButton.OK, MessageBoxImage.Information);
                    }

                    else if (dr.HasRows == false)
                    {
                        MessageBox.Show(str2, "INVALID CREDENTIALS", MessageBoxButton.OK, MessageBoxImage.Error);
                    }
                }
            }
            conn.Close();
        }

        private void ExitApp(object sender, RoutedEventArgs e)
        {
            Application.Current.Shutdown();
        }

        protected override void OnMouseLeftButtonDown(MouseButtonEventArgs e)
        {
            base.OnMouseLeftButtonDown(e);
            DragMove();
        }
    }
}

无论我尝试过什么，我总是失败。

我要做的就是在点击登录表单按钮时验证 tblUsers 中的用户名和密码是否正确，然后检查状态是否为“true”或 1

请告诉我如何参数化 sql

Answer 1

这行代码在引用的查询文本中的括号不匹配。

cmd.CommandText = ("SELECT Status, UserName, Password 
                    FROM tblUsers WHERE(UserName = txt.Username 
                                        and Password = txt.Password;");

WHERE 后面有一个左括号，引用的文本中没有右括号。这就是您收到 SQL 异常的原因。您可以删除左括号，也可以添加右括号。

另外，您需要使用参数来传递用户名和密码值。字符串 txt.Username 和 txt.Password 对 SQL 服务器没有任何意义。

Answer 2

您现有的代码存在很多问题。

• 首先，您尝试从 SQL 中引用 C# 对象。您不能这样做，因为服务器根本看不到您的客户端代码。而是使用适当的参数化。
• 您缺少/多余的括号
• 您需要在使用点创建和使用using 块处理您的连接、命令和读取器对象。然后您不需要显式关闭，using 会为您关闭它。
• 连接打开时不要用消息框阻塞线程
• 实际上没有必要使用阅读器，因为您只想检查单行是否存在。只需SELECT 1 并使用cmd.ExecuteScalar()
• 不要存储或传递纯文本密码。在客户端对密码进行哈希，并将哈希传递给服务器进行检查。

if ((string.IsNullOrEmpty(User)) && (string.IsNullOrEmpty(Pass)))
{
    MessageBox.Show(str1, "NO CREDENTIALS ENTERED", MessageBoxButton.OK, MessageBoxImage.Error);
    return;
}

bool isMatch;

const string query = @"
SELECT 1
FROM tblUsers u
WHERE u.UserName = @Username
  and u.PasswordHash = @PasswordHash;
";
using (var conn = new SqlConnection(ConfigurationManager.ConnectionStrings["ConnectionString"].ConnectionString.ToString()))
using (var cmd = new SqlCommand(query, conn))
{
    cmd.Parameters.Add("@UserName", SqlDbType.NVarchar, 250).Value = txt.Username;
    cmd.Parameters.Add("@PasswordHash", SqlDbType.Binary, 32).Value = YourPasswordHashFunctionHere(txt.Password);
    conn.Open();
    isMatch = ((int?)cmd.ExecuteScalar()) == 1;
}

if (isMatch)
{
    MessageBox.Show(str3, "LOGIN SUCCESSFUL", MessageBoxButton.OK, MessageBoxImage.Information);
}
else
{
    MessageBox.Show(str2, "INVALID CREDENTIALS", MessageBoxButton.OK, MessageBoxImage.Error);
}

Answer 3

您没有向命令发送任何参数。参数化您的查询，然后 sql 将起作用

   cmd.CommandType = System.Data.CommandType.StoredProcedure;
   cmd.CommandText = ("SELECT Status, UserName, Password FROM tblUsers WHERE UserName = @Username and Password = @Password;");

   cmd.Parameters.Add("@UserName", SqlDbType.Varchar, 255).Value = txt.Username;
    cmd.Parameters.Add("@Password", SqlDbType.Varchar, 255).Value = txt.Password;

    dr = cmd.ExecuteReader();

使用hashbyte对数据库中的密码进行加解密。然后客户端只使用文本。不要在客户端进行散列。保持简单。

  See. https://www.mssqltips.com/sqlservertip/4037/storing-passwords-in-a-secure-way-in-a-sql-server-database/

  Hashbytes