asp.net - 多部分标识符“arafa.almahmud08@gmail.com”无法绑定

Question

我已经建立了一个自定义验证器，

我有一个这样的sql查询：

protected void custom_serverValidate(object sender, ServerValidateEventArgs e)
    {
        connect();
        string strSQL = "select EmailAddress from Accounts_Users where EmailAddress=" + REmailTextBox.Text;
        SqlCommand cmd = new SqlCommand(strSQL, objConnection);
        if (e.Value.ToString() == cmd.ExecuteScalar().ToString())
        {
            e.IsValid = false;
        }
        else
            e.IsValid = true;
        disConnect();
    }

当我在浏览器和电子邮件地址中执行我的代码并提交它时，我收到标题中提到的错误。如何解决？

Answer 1

您的电子邮件地址周围缺少引号。然而——这是一个等待发生的 SQL 注入攻击。请切换到使用参数。

string strSQL = "select EmailAddress from Accounts_Users where EmailAddress = @EmailAddress"

...

cmd.Parameters.AddWithValue("@EmailAddress", REmailTextBox.Text);

Answer 2

你忘了使用单引号。利用：

string commandText = "select EmailAddress from Accounts_Users where EmailAddress=@EmailAttress";
SqlCommand cmd = new SqlCommand(commandText, conn);
cmd.Parameters.Add("@EmailAddress", REmailTextBox.Text);