Неправильный синтаксис около «»

Question

Это страница за код, где есть ошибки

if (Session["username"] != null) 
    { 


     SqlConnection con = new SqlConnection(); 
     con.ConnectionString = ConfigurationManager.ConnectionStrings["registerCS"].ConnectionString; 

     string sql1 = "Select pemgrp from Profile where userID = '" + Session["username"].ToString() + "'"; 
     string sql = "Select studname from Profile where pemgrp = '" + sql1 + "'"; 

     SqlCommand cmd = new SqlCommand(); 
     SqlDataReader dr; 

     DataTable dt = new DataTable(); 

     cmd.CommandText = sql; 
     cmd.Connection = con; 

     //open connection and execute command 
     con.Open(); 
     dr = cmd.ExecuteReader(); 

     if (dr.Read()) 
     { 
     lb_classmates.Text = dr[0].ToString(); 

     } 
    } 

Однако, когда я бегу, он дает мне эту ошибку: Неправильный синтаксис около ключевого слова «где».

Описание: Необработанное исключение произошло во время выполнения текущего веб-запроса. Просмотрите трассировку стека для получения более информации об ошибке и ее месте в коде.

Сведения об исключении: System.Data.SqlClient.SqlException: Неправильный синтаксис рядом с ключевым словом 'where'.

Answer 1

Как вы используете подзапрос поэтому этот

string sql = "Select studname from Profile where pemgrp = '" + sql1 + "'"; 

должен быть

string sql = "Select studname from Profile where pemgrp in (" + sql1+ ")"; 

и вы должны использовать Parametereized queries, чтобы избежать SQL injection.

Answer 2

Я думаю, что это должно быть

string sql = "Select studname from Profile where pemgrp in (" + sql1+ ")"; 

вместо

string sql = "Select studname from Profile where pemgrp = '" + sql1 + "'"; 

Я настоятельно рекомендую вам использовать parametereized запросов

Answer 3

Вы должны использовать параметризированное что-то запрос llike этой

string sql = "Select studname from Profile where pemgrp = @p1"; 

и передать параметр

command.Parameters.AddWithValue("@p1",sql1); 

Answer 4

No One's answer, конечно, прав.

Если вы хотите использовать подзапрос в запросе, вы должны использовать IN (Transact-SQL)

Определяет, совпадает ли заданное значение любое значение в подзапроса или список.

test_expression [ NOT ] IN 
(subquery | expression [ ,...n ] 
) 

Кроме того, вы всегда должны использовать parameterized queries. Этот тип конкатенаций строк открыт для атак SQL Injection.

Также рассмотрите возможность использования using для размещения вашего SqlConnection.

using (SqlConnection connection = new SqlConnection(ConfigurationManager.ConnectionStrings["registerCS"].ConnectionString)) 
{ 
    connection.Open(); 
    string sql1 = "Select pemgrp from Profile where userID = @username"; 
    string sql = "Select studname from Profile where pemgrp IN (" + sql1 + ")"; 
    SqlCommand command = new SqlCommand(sql, connection); 
    command.Parameters.AddWithValue("@username", Session["username"].ToString()); 
    SqlDataReader reader = command.ExecuteReader(); 
    while (reader.Read()) 
    { 
     // 
    } 
}