连接数据库时简单引号的错误

Question

我有以下代码来添加新用户：

using System;
using System.Collections.Generic;
using System.Linq;
using System.Text;
using System.Data.SqlClient;
using System.Data;

public class users
{

    public Sqlconnection myconn ()
    {
        return new ("data source=.; integrated security=true; initial catalog=test;");
    } 

    public bool insertuser(username, pass, type)
    {
        try {
            string query="insert into users (username, pass, type) values ( '"+username+"', '"+pass+"', '"+type+"');
            return true;
            SqlCommand mycommand = new SqlCommand (query, this.myconn);
            mycommand.Connection.Open();
            mycommand.ExecuteNonQuery();
            mycommand.Connection.Close();
            return true;
        }
        catch {
            return false;
        }
    }
}

如果用户调用此方法，则现在在表单中

users user1 = new users();

if(user1.insertuser(txtusername.tex, txtpass.text, cbtype.text)==true)
{
    // BUG IS HERE IF USER WRITE  SOMETHING SO..   ANGEL'   (WITH THIS ')
    // MY CODE IS GOING TO HAVE A  BUG!
    // I QUIT THEM IN KEY PRESS BUT WHAT HAPPEND IF USERS MUST TO ADD SOMETHING AS
    // tic's 
    // what can i do for my code acept all?? and it doesn't have any bug?
    MessageBox.show("user added");
}

Answer 1

您的代码存在多个问题：

• 代码示例中的第二行是 return true;，这意味着它不会运行
• InsertUsers 中的任何方法参数没有指定类型
• 不保持连接打开，检索数据后处置连接，
• 使用 using 来保证连接关闭/处置，即使发生异常也
• 使用参数化查询。原因如下：SQL 注入。
• 不要捕获所有异常，仅在这种情况下使用 SqlException

尝试从头开始：

public static bool InsertUser(string userName, string password, string type)
{
    try
    {
        using (var connection = new SqlConnection("data source=.; integrated security=true; initial catalog=test;"))
        using (var command = connection.CreateCommand())
        {
            command.CommandText = "insert into users (username, pass, type) values (@username, @password, @type)";
            command.Parameters.AddWithValue("username", userName);
            command.Parameters.AddWithValue("password", password);
            command.Parameters.AddWithValue("type", type);
            connection.Open();
            command.ExecuteNonQuery();
        }
        return true;
    }
    catch (SqlException)
    {
        return false;
    }
}

Answer 2

您重新发现了 SQL 注入攻击。

不要在 SQL 中包含外部派生的值。

改用参数化查询。

您显示的代码无论如何都无法编译（Sqlcommand 与 SqlCommand），但请阅读 this MSDN 页面（或仅搜索有关参数化查询或 SQL 注入的信息）以获取更多信息。