Как решить синтаксическую ошибку при использовании этого оператора INSERT INTO и пространства имен .NET OleDb?

Question

Я продолжаю получать сообщение об ошибке при попытке вставить значения в базу данных Access.

Ошибка синтаксический, что приводит к следующему исключению:

OleDbException был необработанная Ошибкой синтаксиса в инструкции INSERT INTO заявления.

private OleDbConnection myCon; 

public Form1() 
{ 
    InitializeComponent(); 
    myCon = new OleDbConnection(@"Provider=Microsoft.Jet.OLEDB.4.0; Data Source=C:\File.mdb"); 
} 

private void insertuser_Click(object sender, EventArgs e) 
{ 
    OleDbCommand cmd = new OleDbCommand(); 
    myCon.Open(); 
    cmd.Connection = myCon; 
    cmd.CommandType = CommandType.Text; 

    cmd.CommandText = "INSERT INTO User ([UserID], [Forename], [Surname], " + 
             "[DateOfBirth], [TargetWeight], [TargetCalories], [Height]) " + 
         "VALUES ('" + userid.Text.ToString() + "' , '" + 
            fname.Text.ToString() + "' , '" + 
            sname.Text.ToString() + "' , '" + 
            dob.Text.ToString() + "' , '" + 
            tarweight.Text.ToString() + "' , '" + 
            tarcal.Text.ToString() + "' , '" + 
            height.Text.ToString() + "')"; 

    cmd.ExecuteNonQuery(); 
    myCon.Close(); 
} 

Answer 1

Ну, вы не указали, что ошибка - но ваша первая проблема заключается в том, что вы вставляя данные непосредственно в инструкцию SQL. Не делайте этого. Вы приглашаете SQL injection attacks.

Вместо этого используйте parameterized SQL statement. Как только вы это сделаете, если у вас все еще есть проблемы, отредактируйте этот вопрос с помощью нового кода и скажите, что такое ошибка. Новый код, скорее всего, будет более ясным, так как не будет большой конкатенации, легко скрывающей нечто вроде несогласованной скобки.

РЕДАКТИРОВАТЬ: Как указано в комментариях, Jet/ACE уязвим для меньшего количества инъекций SQL-инъекций, поскольку он не позволяет DML. Для этого оператора INSERT может быть действительно no уязвимость - но для предложения SELECT с предложением WHERE, написанного аналогичным образом, пользовательский ввод может обойти некоторые меры защиты предложения WHERE. Я настоятельно советую вам использовать параметризованные запросы, как сами собой разумеющийся:

• Они означают, что вы не должны избежать пользовательских данных
• Они хранят данные отдельно от кода
• Вы будете иметь меньше беспокоиться о том, если вы когда-нибудь перейдете с Jet/ACE (независимо от того, перемещаете ли этот код или просто сами начинаете работать в разных базах данных)
• Для других типов данных, таких как даты, вам не нужно выполнять какую-либо работу для получения данных в форме, соответствующей базе данных

(Вам также не нужны все звонки ToString. Мало того, что я ожидал, что это свойство называется Text является уже строка, но тот факт, что вы используете конкатенацию означает, что струнные переходы будут происходить автоматически в любом случае.)

Answer 2

Я отправил это в качестве комментария к дубликату вопрос по адресу: Syntax error in INSERT INTO statement in c# OleDb Exception cant spot the error

Положите скобки [] вокруг имени таблицы "User". Это зарезервированное слово на сервере SQL .

«Пользователь» также является зарезервированным словом в Access (судя по провайдеру в строке подключения).

Но я полностью согласен с Джоном - если вы исправите свою текущую реализацию, вы просто открываете большое отверстие безопасности (против вашего стола пользователя, не меньше!)

Answer 3

Если TargetWeight, Height и TargetCalories являются значениями с плавающей запятой или целыми числами, их не нужно окружать кавычками в инструкции SQL.

Кроме того, не имеет прямого отношения к вашему вопросу, но вы действительно должны рассмотреть возможность использования параметризованного запроса. Ваш код очень уязвим для SQL-инъекций.

Answer 4

public decimal codes(string subs) 
    { 
     decimal a = 0; 


     con_4code(); 
      query = "select SUBJINTN.[SCODE] from SUBJINTN where SUBJINTN.[ABBR] = '" +       subs.ToString() + "'"; 
      cmd1 = new OleDbCommand(query, concode); 
      OleDbDataReader dr = cmd1.ExecuteReader(); 

здесь ошибка в др говорится ehile ошибки синтаксиса в СУБД его хорошо работает

  if (dr.Read()) 
      { 
       a = dr.GetDecimal(0); 
       MessageBox.Show(a.ToString()); 
      } 
      return a; 



    } 

Answer 5

После этого

cmd.CommandText="INSERT INTO User ([UserID], [Forename], [Surname], [DateOfBirth], [TargetWeight], [TargetCalories], [Height]) Values ('" + userid.Text.ToString() + "' , '" + fname.Text.ToString() + "' , '" + sname.Text.ToString() + "' , '" + dob.Text.ToString() + "' , '" + tarweight.Text.ToString() + "' , '" + tarcal.Text.ToString() + "' , '" + height.Text.ToString() + "')"; 

проверки того, что это содержит, возможно, [DateOfBirth] имеет нелегальный формат

Answer 6

Эта проблема может возникнуть, если в таблице базы данных содержатся имена столбцов, в которых используется Microsof t зарезервированные слова Jet 4.0.

Измените имена столбцов в таблице базы данных, чтобы не использовать зарезервированные слова Jet 4.0.