Параметрированный запрос выбора возвращает пустые строки

Question

Я недавно начал изучать SQL-инъекцию, поэтому извините меня, если я делаю очевидную ошибку. У меня есть запрос, который возвращает определенные поля из базы данных. Я пытаюсь параметрировать его сейчас, поэтому я могу избежать SQL-инъекции. Мой код ниже

protected string UserInfo() 
{ 
    string UsrName = User.Identity.Name; 

    using (SqlConnection connection = new SqlConnection(Common.ConnectionString)) 
    { 
     UserDetail det = new UserDetail(); 

     using (SqlCommand cmd = new SqlCommand("select FirstName=@fn,LastName=@ln,MobileNumber=@mn,EmailAddress=@ea from Users,OtherInfo where OTID = USERID AND UserName=@UserName")) 
     { 
      cmd.Parameters.AddWithValue("UserName", UsrName); // Works correctly for this 
      cmd.Parameters.AddWithValue("@fn" det.FirstName); 
      cmd.Parameters.AddWithValue("@ln" det.FirstName); 
      cmd.Parameters.AddWithValue("@mn" det.FirstName); 
      cmd.Parameters.AddWithValue("@ea" det.FirstName); 
      cmd.Connection = connection; 
      connection.Open(); 
      using (SqlDataReader reader = cmd.ExecuteReader()) 
      { 
       reader.Read(); 
       info.FirstName = reader["FirstName"].ToString(); 
       info.LastName = reader["LastName"].ToString(); 
       info.TelNum = reader["MobileNumber"].ToString(); 
       info.Email = reader["EmailAddress"].ToString(); 
      } 
     } 
    } 
} 

UserDetail My обладает следующими свойствами:

public string FirstName { get; set; } 
public string LastName { get; set; } 
public string Email { get; set; } 
public string TelNum { get; set; } 

Но это только кажется, вернуться null значения? Кто-нибудь знает, где я ошибаюсь?

Answer 1

Я думаю, вы не хотели передавать пустые значения из вашего объекта UserDetail. Вы эффективно передаете значения null от UserDetail в качестве значения для столбцов, которые выводит ваш запрос.

Попробуйте удалить параметры в select части, удалить их из команды, и попробуйте еще раз:

using (SqlCommand cmd = new SqlCommand("select FirstName,LastName,MobileNumber,EmailAddress from Users,OtherInfo where OTID = USERID AND UserName=@UserName")) 
{ 
    cmd.Parameters.AddWithValue("UserName", UsrName); // Works correctly for this 
    cmd.Connection = connection; 
    connection.Open(); 

    using (SqlDataReader reader = cmd.ExecuteReader()) 
    { 
     if (reader.Read()) 
     { 
      info.FirstName = reader["FirstName"].ToString(); 
      info.LastName = reader["LastName"].ToString(); 
      info.TelNum = reader["MobileNumber"].ToString(); 
      info.Email = reader["EmailAddress"].ToString(); 
     } 
    } 
}