C# - 网站 - SQL Select 语句

Question

我想使用 select 语句来查找是否存在已存在的记录。我已将代码放在下面，但它在 dReader = comm.ExecuteReader(); 处引发错误我不确定为什么。有什么帮助吗？

    string connString = "Data Source=KIMMY-MSI\\SQLEXPRESS;Initial Catalog=Northwind;Integrated Security=True";

    SqlDataReader dReader;
    SqlConnection conn = new SqlConnection(connString);
    SqlCommand comm = new SqlCommand();
    comm.Connection = conn;

    comm.CommandText = "SELECT * FROM Customers WHERE CustomerID == " + txtID.Text;
    comm.Connection.Open();

    dReader = comm.ExecuteReader();

    if (dReader.HasRows == true)
    {
        Response.Write("Exists");
    }

错误：

Invalid Column Name (whatever I input)

它似乎正在寻找名为我输入的列，而不是寻找实际数据。

Answer 1

将 == 更改为 =。这是无效的 SQL。

此外，如果 txtID.Text 是非数字，则需要用单引号引起来。您不应该像这样构建 SQL，而应使用参数：

comm.CommandText = "SELECT * FROM Customers WHERE CustomerID = @CustomerID";
comm.Parameters.AddWithValue("CustomerID", txtID.Text);    

更多信息

C# using语句

SQL 参考

SQL 注入（为什么你应该参数化你的查询）

Answer 2

您的命令似乎有问题：

SELECT * FROM Customers WHERE CustomerID == 1

在 SQL 中，您不需要使用 == 运算符来确保某些内容与另一个内容相等。

尝试：

SELECT * FROM Customers WHERE CustomerID = 1

此外，您可能需要阅读有关 SQL 注入的信息，绑定值的方式是直接来自文本框值。这有一个巨大的安全漏洞，可能导致任意 sql 命令执行。

Answer 3

更改此行：

comm.CommandText = "SELECT * FROM Customers WHERE CustomerID == " + txtID.Text;

更改为此行：

comm.CommandText = "SELECT * FROM Customers WHERE CustomerID = @id";
comm.Parameters.AddWithValue("id", int.Parse(txtID.Text));

假设您的客户 ID 在数据库中为 int。

Answer 4

SQL 中的等于运算符只是一个=。

另外，你真的不应该像这样连接 SQL 查询，你只是让自己面临 SQL 注入攻击< /a>.因此，将其更改为如下所示：

comm.CommandText = "SELECT * FROM Customers WHERE CustomerID = @CustomerId";
comm.Parameters.AddWithValue("@CustomerId", txtID.Text);

请参阅在 SQL 注入攻击阻止您之前阻止它们。

Answer 5

您正在使用无效的 SQL。您命名将“==”更改为“=”。

您还应该考虑将 IDisposable 对象包装在 using 语句中，以便正确处置非托管对象并正确关闭连接。

最后，考虑在 SQL 中使用参数，而不是连接字符串，以避免 SQL 注入攻击：

string connString = @"Data Source=KIMMY-MSI\SQLEXPRESS;Initial Catalog=Northwind;Integrated Security=True";
string sql = "SELECT * FROM Customers WHERE CustomerID = @CustomerID";
using (SqlConnection conn = new SqlConnection(connString))
using (SqlCommand comm = new SqlCommand(sql, conn))
{
    comm.Connection.Open();
    comm.Parameters.AddWithValue("@CustomerID", txtID.Text);
    using (SqlDataReader dReader = comm.ExecuteReader())
    {
        if (dReader.HasRows == true)
        {
            Response.Write("Exists");
        }   
    }
}