C#无效列名问题但与其他不同

Question

您好，我有一个名为 Card_tbl 的表，其中包含一个单元 CardID。问题是当我只插入像 12345 这样的数字时，它们会上传到数据库中，但是当我使用像 Q1234R 这样的混合字母时，它会说 INVALID COLUMN NAME Q1234R 我尝试了很多东西修复它但没有成功。 单元格在 VARCHAR(50) 上这是我的代码

Con.Open();
            SqlCommand cmd = new SqlCommand("insert into Card_tbl values(" +txtCardNumber.Text+")", Con);
            cmd.ExecuteNonQuery();
            MessageBox.Show("Admin Successfully Added!");
            Con.Close();
            populate();
            //updateroomstate();
            Clean();

此处显示错误cmd.ExecuteNonQuery();

提前谢谢你。

Answer 1

解决方案

正确的解决方案是使用准备好的语句。你说过这个专栏是varchar(50) 所以：

using (SqlConnection conn = new SqlConnection("yourconnectionstring"))
{
    conn.Open();
    using (SqlCommand cmd = new SqlCommand("INSERT INTO Card_tbl VALUES (@cardNumber)", conn))
    {
        // we specify type VarChar and size 50, because your column is a varchar(50)
        cmd.Parameters.Add("@cardNumber", SqlDbType.VarChar, 50).Value = txtCardNumber.Text;
        cmd.ExecuteNonQuery();
    }
}

我还建议您指定插入的列名：

INSERT INTO Card_tbl (CardId) VALUES (@cardNumber) -- I've assumed that the column is called CardId

为什么我们需要参数化查询/准备好的语句？

我们需要预处理语句的原因是因为用户可能在查询中输入恶意内容，从而迫使您的服务器执行您不​​打算执行的查询。

如果您有这样的查询，SQL Server 将执行插入然后删除表：

INSERT INTO MyTable VALUES ('hello'); DROP TABLE MyTable; -- comment

这是一个多语句查询，意味着先执行 INSERT，然后执行 DROP TABLE。 -- 表示注释，查询中之后的所有内容都将被丢弃。

现在，如果您构建一个类似"INSERT INTO MyTable VALUES ('" + someUserInput + "')" 的查询，恶意用户如何使这个查询更像之前的查询？很简单：在他们的输入中输入 SQL。

假设someUserInput 是'); DROP TABLE MyTable; -- comment，那么您的查询将变为：

INSERT INTO MyTable VALUES(''); DROP TABLE MyTable; -- comment')

像这样，恶意用户可以对您的数据库执行极具破坏性的操作，绕过登录页面，暴露机密信息等。这对您的应用程序来说是一个巨大的风险。

准备好的语句通过将查询文本与参数值分开来工作。因为它们不是查询的一部分，所以它们不能被解释为 SQL。这也意味着二进制数据类型可以作为二进制而不是文本发送到服务器。示例：DateTime。

Answer 2

试试这个

插入 Card_tbl(CardID) values('" +txtCardNumber.Text+"')"

https://www.w3schools.com/sql/sql_insert.asp