C#，SQLreader/命令出现问题

Question

我在使用 SqlDataReader 时遇到了一些问题：

public string GetVareNavn(string streg)
    {
        string navn = "";
        SqlConnection myCon = DBcon.getInstance().conn();

        string query =
            "SELECT Navn FROM Vare WHERE Stregkode = ) Values('" + streg + "')";

        myCon.Open();
        SqlCommand com = new SqlCommand(query, myCon);
        Console.WriteLine("navn: "+navn);
        SqlDataReader dr = com.ExecuteReader();
        if (dr.Read())
        {
            navn = dr.GetString(1);
        }
        myCon.Close();
        return navn;
    }

它在 com.ExecutiveReader(); 处抛出异常，异常是：

“)”附近的语法不正确。

我不知道为什么这个现在不起作用，因为我已经在另一个项目中使用了它。

Answer 1

您的查询看起来像是从曾经是 INSERT 语句的内容复制而来；您不需要在语句末尾添加 VALUES... 子句。尝试将您的查询更改为：

string query =
    "SELECT Navn FROM Vare WHERE Stregkode = @streg";

然后修改此代码以使用参数：

SqlCommand com = new SqlCommand(query, myCon);
com.Parameters.AddWithValue("@streg", streg);

Answer 2

它不起作用，因为您的 SQL 已损坏：

SELECT Navn FROM Vare WHERE Stregkode = ) Values('" + streg + "')"

您希望 WHERE 子句做什么，以及您尝试使用什么值？看起来您的更新命令的复制/粘贴已损坏。

此外，无论如何，您都不应该像这样将值放入 SQL 中 - 您应该使用参数化查询来避免 SQL 注入攻击（并避免格式问题等）。

Answer 3

是的，它肯定会给。为什么将 Values 放入 select 查询中？这是错误的语法，请立即尝试。

string query = "SELECT Navn FROM Vare WHERE Stregkode = '" + streg + "'";