asp.net - SQL 语句“无效的列名”：如何构建查询？

Question

    string ID = "";
        if (Session["sID"] != null)
        {
            ID = Session["sID"].ToString();
            con.Open();

            string surveysr = "Select ShowResult from Survey where SurveyID=" + ID ;
            SqlCommand cmd2 = new SqlCommand(surveysr, con);
            SqlDataReader dr = cmd2.ExecuteReader();
           .............

给出的错误是“Invalid column name 'S29'”问题是，ID 只是 S29，没有单引号。但是，当 sql catch 带有 ''. 任何想法？？

Answer 1

永远不要永远不要使用字符串连接来将值替换到你的 sql 查询中。你要这个：

string ID = "";
if (Session["sID"] != null)
{
    ID = Session["sID"].ToString();
    con.Open();

    string surveysr = "Select ShowResult from Survey where SurveyID= @ID";
    SqlCommand cmd2 = new SqlCommand(surveysr, con);
    cmd2.Parameters.Add("@ID", SqlDbType.VarChar, 3).Value = ID;
    SqlDataReader dr = cmd2.ExecuteReader(); 

使用您的旧代码，如果我设法创建了一个名为 的 ID;DROP Table Survey;--怎么办？

Answer 2

也许这个可以帮助你：

string ID = "";
    if (Session["sID"] != null)
    {
        ID = CStr(Session["sID"]).ToString();
        con.Open();

        string surveysr = "Select ShowResult from Survey where SurveyID=" + ID ;
        SqlCommand cmd2 = new SqlCommand(surveysr, con);
        SqlDataReader dr = cmd2.ExecuteReader();
       .............

Answer 3

尝试：

string surveysr = "Select ShowResult from Survey where SurveyID='" + ID + "'" ;