Where子句抛出错误[关闭]

Question

为什么这段代码会抛出错误？

using (MySqlConnection cn = new MySqlConnection(VarribleKeeper.MySQLConnectionString))
{
    {
        MySqlCommand Command = new MySqlCommand();
        Command.Connection = cn;

        Command.CommandText = "UPDATE TeleworksStats SET Ja= ('" + JaTak +
            "') WHERE Brugernavn = " + VarribleKeeper.Brugernavn + "' AND Dato = " +
            DateTime.Today.ToString("yyyy-MM-dd") + "";
        cn.Open();
        Command.ExecuteNonQuery();
        //Ryd op
        Command.Dispose();
        cn.Close();
    }
}

Answer 1

我认为您要记住的不仅仅是' 的Brugernavn 列的值和两个单引号Dato 列的值。

• 使用using statement 来处置您的Command 对象，就像您对连接所做的那样，而不是手动调用Close 或Dispose 方法。
• 使用paramterized queries 代替字符串连接。此类代码对SQL Injection 攻击开放。
• 看起来您尝试将 DateTime 值与其字符串表示形式一起保存。 不要这样做！如果您想将 DateTime 值保存到数据库中，则需要直接传递它们。将您的 Dato 列更改为 DateTime type。阅读：Bad habits to kick : choosing the wrong data type

---

using(var cn = new MySqlConnection(VarribleKeeper.MySQLConnectionString))
using(var Command = cn.CreateCommand())
{
   Command.CommandText = @"UPDATE TeleworksStats SET Ja = @Ja 
                           WHERE Brugernavn = @Brugernavn  AND Dato = @Dato";
   Command.Parameters.Add("@Ja", MySqlDbType.VarChar).Value = JaTak;
   Command.Parameters.Add("@Ja", MySqlDbType.VarChar).Value = VarribleKeeper.Brugernavn;
   Command.Parameters.Add("@Ja", MySqlDbType.DateTime).Value = DateTime.Today;
   // I assumed your column types. You should write proper column types instead.

   cn.Open();
   Command.ExecuteNonQuery();
}

Answer 2

在Brugernavn = 和Dato 之后，您错过了' 的引用：

Brugernavn = "... '" + VarribleKeeper.Brugernavn + "' AND Dato = '" +
             DateTime.Today.ToString("yyyy-MM-dd") + "'";

此外，我强烈建议您始终使用parameterized queries 来避免像这样使用SQL Injection：

Command.CommandText =
     "UPDATE TeleworksStats SET Ja = @Ja WHERE Brugernavn = @Brugernavn and ...";
Command.Parameters.AddWithValue("@Ja", JaTak);
Command.Parameters.AddWithValue("@Brugernavn",  VarribleKeeper.Brugernavn);

虽然直接指定类型并使用Value属性比AddWithValue好。检查这个：Can we stop using AddWithValue() already?