试图将数据库条目限制为当前用户名

Question

我使用上传文件的人的用户名更新数据库，并尝试仅检索当前用户上传的文件，以显示在 gridview 中。

页面显示当前用户名，当该人上传文件时，一切正常。虽然当该用户点击搜索按钮时，所有记录都会显示并且我收到错误：

错误：列名“测试”无效

  protected void ButtonSearch_Click(object sender, EventArgs e)
{
    GridView1.Visible = true;

    try
    {
        string UN = Session["New"].ToString();
        SqlConnection conn = new SqlConnection(ConfigurationManager.ConnectionStrings["ConnectionString"].ConnectionString);


        SqlDataReader reader;
        SqlCommand command = new SqlCommand();
        command.CommandText = "SELECT * FROM UserUpload WHERE UserName = @un";
        command.Parameters.Add(new SqlParameter("@un", UN));
        command.Connection = conn;

        conn.Open();

            reader = command.ExecuteReader();

                    GridView1.DataSource = reader;
                    GridView1.DataBind();

        conn.Close();

        }

    catch (Exception ex)
    {

        LabelMessage.Text = ("Error:" + ex.Message);

    }
}

Answer 1

改变这一行

string UserSearch = "SELECT * FROM UserUpload WHERE UserName =" + UN;

到

string UserSearch = string.Format("SELECT * FROM UserUpload WHERE UserName ='{0}'",UN);

您想与用户名匹配，因为字符串字符串在 SQL 中被包装在 '' 中
如果您要按数字匹配，则可以正常工作，因为数字没有此要求。

更新到更新： 改成这样的（未测试）

SqlCommand com = new SqlCommand(UserSearch, conn);

    {   DataSet ds = com.ExecuteReader();
        if (ds.Tables.Count > 0)
        {
            GridView1.DataSource = ds;
            GridView1.DataBind();
        }
            conn.Close();
    }

阅读this会受益匪浅

Answer 2

使用参数而不是将值分配给查询字符串

    protected void ButtonSearch_Click(object sender, EventArgs e)
    {
        GridView1.Visible = true;
        try
        {
            string UN = Session["New"].ToString(); ;
            SqlConnection conn = new SqlConnection(ConfigurationManager.ConnectionStrings["ConnectionString"].ConnectionString);
            conn.Open();
            string UserSearch = "SELECT * FROM UserUpload WHERE UserName = @un";
            SqlCommand com = new SqlCommand(UserSearch, conn);
            com.Parameters.Add(new SqlParameter("@un", UN));

            com.ExecuteNonQuery();
            conn.Close();
        }
        catch (Exception ex)
        {

            LabelMessage.Text = ("Error:" + ex.Message);

        }
    }