Неверный синтаксис рядом с '='. в коде C#

Question

Я разрабатываю прикладную программу aC# windows form, которая сохраняет информацию об ученике, например, название курса и т. д. Мой код при сохранении базы данных sql работает, но когда дело доходит до получения информации, я получаю эту ошибку неверно синтаксис около '='. я думаю, что ошибка в code.please помощи извлечь :)

Вот является получить код:

try 
{ 
    string sql = "SELECT studnum,course,f_name,l_name,color_image FROM table3 WHERE f_name=" + textBoxfname.Text + ""; 
    if (conn.State != ConnectionState.Open) 
     conn.Open(); 
    command = new SqlCommand(sql, conn); 
    SqlDataReader reader = command.ExecuteReader(); 
    reader.Read(); 
    if (reader.HasRows) 
    { 
     labeloutputstudnum.Text = reader[0].ToString(); 
     labeloutputcourse.Text = reader[1].ToString(); 
     labeloutputfname.Text = reader[2].ToString(); 
     labeloutputlname.Text = reader[3].ToString(); 
     byte[] img = (byte[])(reader[4]); 
     if (img == null) 
      pictureBox3.Image = null; 
     else 
     { 
      MemoryStream ms = new MemoryStream(img); 
      pictureBox3.Image = Image.FromStream(ms); 
     } 
    } 
    else 
    { 
     textBoxstudno.Text = ""; 
     textBoxcourse.Text = ""; 
     textBoxfname.Text = ""; 
     textBoxlname.Text = ""; 
     pictureBox3.Image = null; 
     MessageBox.Show("does not exist"); 
    } 
    conn.Close(); 
} 
catch (Exception ex) 
{ 
    conn.Close(); 
    MessageBox.Show(ex.Message); 
} 

Answer 1

Вы должны использовать одинарные кавычки для строковых параметров/полей в SQL:

string sql = "SELECT studnum,course,f_name,l_name,color_image FROM table3 WHERE f_name='" + textBoxfname.Text + "'"; 

Но это лучше (более безопасный), чтобы использовать параметры:

string sql = "SELECT studnum,course,f_name,l_name,color_image FROM table3 WHERE f_name=@name"; 
if (conn.State != ConnectionState.Open) 
    conn.Open(); 
var command = new SqlCommand(sql, conn); 
command.Parameters.Add("@name", SqlDbType.NVarChar).Value = textBoxfname.Text; 

Answer 2

string sql = "SELECT studnum,course,f_name,l_name,color_image FROM table3 WHERE f_name=@Name"; 
command = new SqlCommand(sql, conn); 
command.Parameters.Add(new SqlParameter("@Name", textBoxfname.Text)); 

Answer 3

Чтобы ответить на ваш вопрос, ваш запрос sql имеет неправильный синтаксис. Я бы сломал точку в строке sql, чтобы точно увидеть, что случилось. Это должно быть очевидно, когда вы это делаете.

Проблема REAL заключается в том, что вы подвергаете свое приложение SQL-инъекции. Давайте рассмотрим базовый пример того, что у вас есть.

"SELECT * FROM table WHERE id ='" + userinput.Text + "'"; 

Таким образом, пользователь вводит какое-либо значение и его туда бросает запрос. Просто так?

Что происходит, если пользователь вводит этот

' OR 1=1; -- 

Ну давайте посмотрим, что ваша строка SQL превращается, когда это добавило

SELECT * FROM table WHERE id = '' OR 1=1; -- ' 

Итак, строка запроса говорит выбрать идентификатор или где 1 = 1, что означает, что true, что означает все.

SQL-инъекция - настоящая угроза, и единственный способ остановить ее - реализовать меры борьбы с самого начала.

Пожалуйста, изучите параметризацию. Это очень легко в C#.

MSDN Article on C# Parameterization

Answer 4

Я вижу несколько ошибок:

1. Наиболее очевидным, всегда использовать параметры в операторах SQL.
2. Всегда используйте блоки для очистки соединений.

3. Не используйте соединения повторно, это неверно, поскольку сервер SQL будет автоматически (по умолчанию, если вы не отключите его с помощью исключения) используйте пул соединений.

   // НЕ используйте повторно соединения, при необходимости создайте новый! using (var conn = новый SqlConnection (/ использование подключение из Интернета/приложение.config /)) { const string sql = "SELECT studnum, course, f_name, l_name, color_image FROM table3 WHERE f_name = @name";

   command = new SqlCommand(sql, conn); 
   command.Parameters.Add(new SqlParameter("@name", SqlDbType.VarChar) { Value = textBoxfname.Text}); 
   
   conn.Open(); 
   
   /* rest of code unchanged but do not call conn.Close(), the using block will do this for you 
   

   }