Как передать параметр integer в SQL-запросе

Question

 String id = Request.QueryString["id"]; 
     int no = Int32.Parse(id); 
     string query = "select * from product_desc where d_id='"+no+"' "; 
     SqlDataAdapter Da = new SqlDataAdapter(query, conn); 

В этом коде на момент выполнения он дает ошибку «Строка ввода не была в правильном формате». Как выполнить этот запрос? Пожалуйста, дайте какие-либо предложения или форму по ссылке, чтобы решить эту проблему

Answer 1

Изменить код, как показано ниже:

string id = Request.QueryString["id"] != null ? Request.QueryString["id"].ToString() : "0" ; 
    int no = Convert.ToInt32(id); 
    string query = String.Format("select * from product_desc where d_id={0}",no); 
    SqlDataAdapter Da = new SqlDataAdapter(query, conn); 

Answer 2

Достаточно сделать следующее дело.

String id = Request.QueryString["id"]; 
int no = Int32.Parse(id); 
string query = String.Format("select * from product_desc where d_id={0}",no); 
SqlDataAdapter Da = new SqlDataAdapter(query, conn); 

У меня все еще есть сомнения, что Request.QueryString ["id"] не возвращает правильное значение на первом месте. Пожалуйста, подтвердите, что я могу обеспечить улучшенный ответ.

Answer 3

попробовать этот код

if (string.IsNullOrEmpty(Request.QueryString["id"])) 
{ 
    int no = Convert.ToInt32(Request.QueryString["id"]); 
    string query = String.Format("select * from product_desc where d_id={0}",no); 
} 

Answer 4

SQL инъекции:

SQL инъекций является метод, где злоумышленники могут вводить команды SQL в операторе SQL, с помощью ввода веб-страницы.

Введенные команды SQL могут изменять инструкцию SQL и подрывать безопасность веб-приложения.

Для использования SQl-инъекции используйте Parameters.

String id = Request.QueryString["id"]; 
int no = Int32.Parse(id.trim()); 
string query = "select * from product_desc where d_id=@d_id"; 
SqlDataAdapter Da = new SqlDataAdapter(query, conn); 
Da.SelectCommand.Parameters.AddWithValue("@d_id", no); 
Da.SelectCommand.CommandType = CommandType.Text;