为什么我会变得不正确的语法接近“字母”？

Question

我正在尝试将新车详细信息添加到系统中。我想添加到Carid的VARCHAR值中。在Cari​​d的数据库类型中是Varchar。

这是我的代码：

private void btnAddCar_Click(object sender, EventArgs e){
if (txtCarId.Text == "" || txtModel.Text == "" || txtColor.Text == "" || txtFuelType.Text == "" || txtPrice.Text == "")
            {
                MessageBox.Show("Missing Information");
            }
            else
            {
                try
                {
                    Con.Open();
                    string query = "insert into CAR(CarID,Model,Color,FuelType,Available,Price) values(" + txtCarId.Text + ",'" + txtModel.Text + "','" + txtColor.Text + "','"+txtFuelType.Text + "','"+cmbBoxAvailable.SelectedItem.ToString()+"',"+txtPrice.Text+")";
                    SqlCommand cmd = new SqlCommand(query, Con);
                    cmd.ExecuteNonQuery();
                    MessageBox.Show("Car Successfully Added");
                    Con.Close();
                    populate();
                }
                catch (Exception myEx)
                {
                    MessageBox.Show(myEx.Message);
                }
            }
        }

但是当我将值输入到Carid Textbox时， 发生例外：“无效列名”，不正确的语法靠近“字母” enter image Description

Answer 1

我将尝试修复您的代码，并希望它能解决您的问题，或者至少使它更清楚地出了问题。这是新的代码：

private void btnAddCar_Click(object sender, EventArgs e)
{
    if (txtCarId.Text == "" || txtModel.Text == "" || txtColor.Text == "" || txtFuelType.Text == "" || txtPrice.Text == "")
    {
        MessageBox.Show("Missing Information");
    }
    else
    {
        try
        {
            using (var con = new SqlConnection(<your connectionstring goes here>)
            {
                con.Open();
                string query = "INSERT INTO CAR(CarID,Model,Color,FuelType,Available,Price) VALUES(@CarID,@Model,@Color,@FuelType,@Available,@Price)";
                using (var cmd = new SqlCommand(query, con))
                {
                    cmd.Parameters.Add("@CarID").Value = txtModel.Text;
                    cmd.Parameters.Add("@Model").Value = txtModel.Text;
                    cmd.Parameters.Add("@Color").Value = txtColor.Text;
                    cmd.Parameters.Add("@FuelType").Value = txtFuelType.Text;
                    cmd.Parameters.Add("@Available").Value = cmbBoxAvailable.SelectedItem.ToString();
                    cmd.Parameters.Add("@Price").Value = txtPrice.Text;
                    cmd.ExecuteNonQuery();
                    MessageBox.Show("Car Successfully Added");
                }
                populate();
            }
        }
        catch (Exception myEx)
        {
            MessageBox.Show(myEx.Message);
        }
    }
}

因此，SQLConnection现在是本地的，并以使用模式包裹，因此它将自动关闭并自动处置。 SQLCommand也是如此。

查询使用参数，因此可以防止SQL注入，并且您不必考虑数据库类型。这不是真的，因为我认为所有数据库字段都是字符串，所以这极不可能，但是您尚未指定。不是字符串的字段，您必须在设置参数值之前转换为正确的类型。

在现实生活中，您会将所有数据库内容放在数据层中，而仅在此处处理用户界面，但是我将其保留给自己。

另外，您不应该捕获异常，但是可能发生的异常子类型。