SQL DateTime Ошибка формата

Question

string strQuery = "INSERT INTO [Order] (Quantity, Type, DateTime) 
values(" + qty + "," + type + "," + dtstmp.ToString("yyyy-mm-dd hh:mm:ss.fff") + ")"; 

SQL запросов:

INSERT INTO [Order] (Quantity, Type, DateTime) values(1,'q',2016-44-08 12:44:39.128) 

Неправильная ошибка синтаксиса возле '12'

Exception thrown: 'System.Data.Odbc.OdbcException' in System.Data.dll 

Может кто-то помочь мне понять эту ошибку синтаксиса?

Answer 1

Значения datetime должны иметь одинарные кавычки. Попробуйте

string strQuery = "INSERT INTO [Order] (Quantity, Type, DateTime) 
values(" + qty + "," + type + ",'" + dtstmp.ToString("yyyy-mm-dd hh:mm:ss.fff") + "')"; 

Answer 2

Собственно простое исправление, добавив ' до и после DateString не решает ваши проблемы, так как ваш запрос открывает широкую дверь для хакеров. Вместо этого я предпочитаю использовать параметризованные запросы для этих простых текстов/конкатенированных строк. очевидно, что эта проблема будет исправлена; код для этого будет выглядеть следующим образом:

string strQuery = "INSERT INTO [Order] (Quantity, Type, DateTime)Values(@qty,@type,@date)"; 
// create and open connection here 
using (SqlCommand cmdSQL = new SqlCommand(strQuery)) 
{ 
    // assign connection for this comnmand 
    cmdSQL.Parameters.Add("@qty", SqlDbType.Int).Value = qty; 
    cmdSQL.Parameters.Add("@type", SqlDbType.VarChar).Value = type; 
    cmdSQL.Parameters.Add("@date", SqlDbType.DateTime).Value = dtstmp; 
    cmdSQL.ExecuteNonQuery(); 
}