必须关闭 asp.net datareader

Question

我的代码：

SqlConnection con = new SqlConnection(WebConfigurationManager.ConnectionStrings["myConnectionString"].ConnectionString);
SqlCommand cmd = new SqlCommand();
//..........
cmd.CommandText = "SELECT * FROM TempQn WHERE creatorId=  '" +
Session["administratorID"].ToString() + "'";  
dr = cmd.ExecuteReader();  
while (dr.Read())
{
    int ids = Int32.Parse(dr["QuestionID"].ToString());
    cmd.CommandText = " INSERT INTO Answers (QuestionId,Answer) Select c.QnId, c.Answer From TempAns c Where c.Id = " + ids + " ";
    cmd.ExecuteNonQuery(); //this line
}
dr.Close();

错误是：

已经有一个打开的 DataReader 与此命令关联，必须先将其关闭。

什么样的命令应该替换cmd.ExecuteNonQuery();？

Answer 1

只要 DataReader 处于“活动”状态，您就无法执行任何进一步的 SQL 语句。

为了克服这个问题，请存储 SQL 语句列表，然后在阅读以下内容后执行它们：

cmd.CommandText = "SELECT * FROM Question WHERE SurveyID= '" + sID + "'";    
dr = cmd.ExecuteReader();  
List<string> arrSQL = new List<string>();
while (dr.Read())
{
    int ids = Int32.Parse(dr["QuestionID"].ToString());
    arrSQL.Add("INSERT INTO Answers (QuestionId,Answer) Select c.QnId, c.Answer From TempAns c Where c.Id = " + ids + " ");
}
dr.Close();

arrSQL.ForEach(strSQL =>
{
    cmd.CommandText = strSQL;
    cmd.ExecuteNonQuery();
});

您当前的代码很容易受到 SQL 注入攻击，但这不是一个好的做法 - 您最好使用参数而不是向原始 SQL 注入值 - 以下是如何实现这一点：

cmd.CommandText = "SELECT * FROM Question WHERE SurveyID=@id";
cmd.Parameters.AddWithValue("@id", sID);
dr = cmd.ExecuteReader();  
List<int> arrQuestions = new List<int>();
while (dr.Read())
{
    int ids = Int32.Parse(dr["QuestionID"].ToString());
    arrQuestions.Add(ids);
}
dr.Close();

cmd.CommandText =  "INSERT INTO Answers (QuestionId, Answer) Select c.QnId, c.Answer From TempAns c Where c.Id = @id";
arrQuestions.ForEach(id =>
{
    cmd.Parameters["@id"].Value = id;
    cmd.ExecuteNonQuery();
});

Answer 2

您已经有一个与“cmd”关联的命令。

  dr = cmd.ExecuteReader();  
          while (dr.Read())
          {
              int ids = Int32.Parse(dr["QuestionID"].ToString());
              SqlCommand sqlCmd = new SqlCommand("INSERT INTO Answers (QuestionId,Answer) Select c.QnId, c.Answer From TempAns c Where c.Id = " + ids + " ");
              sqlCmd.ExecuteNonQuery(); //this line
          }
          dr.Close();

因此，就像上面给出的那样，创建一个新的插入命令。

Answer 3

这个单个查询应该可以完成这项工作（不确定您确切的数据模型，请根据需要进行调整）：

INSERT INTO Answers (QuestionId,Answer) 
Select c.QnId, c.Answer 
From TempAns c 
inner join Question q on c.QnId = q.Id
where q.SurveyID = @SurveyID

为了避免 SQl 注入，请使用以下 C# 代码：

cmd.CommandTest = @"INSERT INTO Answers (QuestionId,Answer) 
    Select c.QnId, c.Answer 
    From TempAns c 
    inner join Question q on c.QnId = q.Id
    where q.SurveyID = @SurveyID";

SqlParameter param = cmd.Parameters.Add("@SurveyID", SqlDbType.Int);
param.Value = yourSurveyId;

cmd.Open(); // it would be better to check the status before 
cmd.ExecuteNonQuery();
cmd.Close();

Answer 4

您可以更改连接字符串并使用 MARS (多个活动结果集) 用于此目的。将以下语句添加到您的连接字符串：

MultipleActiveResultSets=True

编辑：
就像其他人所说的那样，使用 SqlParameters 作为参数，而不是字符串连接。这不仅是一个安全问题，而且还会对性能造成巨大影响！

Answer 5

您需要声明一个新的命令对象，因为当您尝试将其用于插入语句时， cmd 已被用于读取数据。另外，不要使用 sql 命令中的字符串连接，这是一种不好的做法，并且容易受到 SQL 注入的攻击。使用参数。