将文本框值插入数据库

Question

我是这里的新手，想要一些有关 C# 编程的建议，

我想将文本框中的值存储到数据库中。 到目前为止，我有以下内容：

string connectionString = @"Data Source=.\SQLEXPRESS;AttachDbFilename=|DataDirectory|\Customers.mdf;Integrated Security=True;User Instance=True";
SqlConnection connection = new SqlConnection(connectionString);
connection.Open();

string query = "INSERT INTO ProjectList (ProjectName, BiddingDueDate, Status, ProjectStartDate, ProjectEndDate, AssignedTo, PointsWorth, StaffCredits) VALUES ('"+projName+"', '"+bidDueDate+"', '"+status+"', '"+projectStartDate+"', '"+projectEndDate+"', '"+assignedTo+"', '"+pointsWorth+"', '"+aStaffCredits+"')";
SqlCommand command = new SqlCommand(query, connection);

command.ExecuteNonQuery();
connection.Close();

代码中没有错误，但我似乎无法弄清楚为什么数据库中没有存储任何内容。

Answer 1

首先，您的代码已经适合SQL 注入攻击 - 您确实应该使用参数化查询。

另外，如果使用参数，则可以具有一定的类型安全性，并且值将被正确转换到 SQL Server。

很难判断这里出了什么问题，因为我们不知道您连接的值（例如，bidDueDate 是什么样的？，thisQuery 是什么样的）在执行之前？）。

我通常会将其编写为存储过程，获取插入记录所需的参数，在我的 C# 中，我将创建命令对象，并向其添加正确的参数（和类型）。

请参阅此 MSDN 页面 (SqlCommand.Parameters) 上的示例。

Answer 2

至少您的代码应该如下所示：

void SaveData(string projectName, DateTime biddingDueDate, string status, DateTime projectStartDate, string assignedTo, int pointsWorth, string staffCredits)
{
    try
    {
        string connectionString = @"Data Source=.\SQLEXPRESS;AttachDbFilename=|DataDirectory|\Customers.mdf;Integrated Security=True;User Instance=True";
        using (SqlConnection connection = new SqlConnection(connectionString))
        using (SqlCommand command = connection.CreateCommand())
        {
            command.CommandText = "INSERT INTO ProjectList (ProjectName, BiddingDueDate, Status, ProjectStartDate, ProjectEndDate, AssignedTo, PointsWorth, StaffCredits) VALUES (@projectName, @biddingDueDate, @status, @projectStartDate, @projectStartDate, @assignedTo, @pointsWorth, @staffCredits)";

            command.Parameters.AddWithValue("@projectName", projectName);
            command.Parameters.AddWithValue("@biddingDueDate", biddingDueDate);
            command.Parameters.AddWithValue("@status", status);
            command.Parameters.AddWithValue("@projectStartDate", projectStartDate);
            command.Parameters.AddWithValue("@assignedTo", assignedTo);
            command.Parameters.AddWithValue("@pointsWorth", pointsWorth);
            command.Parameters.AddWithValue("@staffCredits", staffCredits);

            connection.Open();
            command.ExecuteNonQuery();
        }
    }
    catch (SqlException ex)
    {
        Console.WriteLine(ex.Message);
    }

}

参数的类型可以自动确定（尝试）：

command.Parameters.AddWithValue("@biddingDueDate", biddingDueDate);

或手动指定：

command.Parameters.Add("@biddingDueDate", System.Data.SqlDbType.DateTime).Value = biddingDueDate;

您还可以将日期转换为具有指定格式的字符串，以尽量减少错误解析的风险（由于文化相关的特殊性等） ）在数据库端：

command.Parameters.Add("@biddingDueDate", System.Data.SqlDbType.DateTime).Value = biddingDueDate.ToString("yyyy-MM-dd"); // also you can use just yyyyMMdd

Answer 3

如果示例中的变量是 TextBox，则应写为 projName.Text、status.Text。

Answer 4

您是否将数据库文件的“复制到输出目录”属性设置为“始终复制”？

因为这会在每次构建时覆盖您的数据库文件。

Answer 5

如果您的 ProjectStartDate 和日期通常是数据库中的日期时间值，那么在插入带有 '.
它应该是这样的：

String thisQuery = "INSERT INTO ProjectList (ProjectName, BiddingDueDate, Status, ProjectStartDate, ProjectEndDate, AssignedTo, PointsWorth, StaffCredits) VALUES ('"+projName+"', "+bidDueDate+", '"+status+"', "+projectStartDate+", "+projectEndDate+", '"+assignedTo+"', '"+pointsWorth+"', '"+aStaffCredits+"')"; 

Answer 6

要找出问题所在，您要做的第一件事就是放在

Console.WriteLine(thisQuery);

StringthisQuery= 行之后，

这将准确地显示您正在使用什么语句调用 Db，并且只需查看即可清楚在输出中该语句有什么问题。