Insert语句中的语法不正确

Question

打开和关闭连接：

OleDbConnection conn;
private void ConnectToDatabase()
{
    // Creates a connection to the database using an absolute path.
    conn = new OleDbConnection(@"Provider=Microsoft.ACE.OLEDB.12.0;Data Source=" +Server.MapPath("App_Data\\BookRatings.accdb"));
    // Opens the connection.
    conn.Open();
}
private void DisconnectDatabase()
{
    // The connection is closed.
    conn.Close();
}

注册用户

 public void RegisterCustomer(string userName, string Address, string Tel, string Email, string Ques, string Ans, string Pass)
{
    // Connect to database.
    ConnectToDatabase();
    // Inserts the necessary values into the database.
    OleDbCommand cmd = conn.CreateCommand();
    cmd.CommandText = (@"INSERT INTO user ([userName], [Address],[telephone], [emailAddress], [Password], [securityQuestion], [securityAnswer]) VALUES ('" + userName + "', '" + Address + "', '" + Tel + "', '" + Email + "', '" + Pass + "', '" + Ques + "', '" + Ans + "')");
    cmd.ExecuteNonQuery();
    // The connection is closed.
    DisconnectDatabase();
}

错误消息

'/'应用程序中的服务器错误。

INSERT INTO语句中存在语法错误。

描述：在执行当前Web请求期间发生未处理的异常。请查看堆栈跟踪以获取有关错误及其在代码中的起源的更多信息。

异常详细信息：系统。数据。OleDb。OleDbException：INSERT INTO语句中的语法错误。

源错误：

第100行：命令。ExecuteNonQuery（）；第101行：//连接已关闭。第102行：DisconnectDatabase（）；第103行：}104行：[WebMethod]

源文件：*\bookClub\Service。aspx。cs线：102

堆栈跟踪：

[OleDbException（0x80040e14）：INSERT INTO语句中的语法错误。]系统数据OleDb。OLEDB命令。执行命令和文本错误处理（OleDbHResult hr）1102900系统。数据OleDb。OLEDB命令。ExecuteCommandTextForSingleResult（tagDBPARAMS dbParams，Object

我不明白为什么这么近的距离会产生问题？或者为什么它会在插入时崩溃。。。

Answer 1

用户是MS Access中的保留字，因此只需更新SQL命令，将用户包装在方括号中：

cmd.CommandText = (@"INSERT INTO [user] ([userName]....

此外，如注释中所述，最好使用参数化查询来防止SQL注入攻击。

看看这个问题的答案，它向你展示了如何做到这一点：

此外，在该示例中，它使用一个Using块来处理关闭和处理连接，这比手动操作要好。您的代码看起来像这样，带有参数和使用块的代码：

conn = new OleDbConnection(@"Provider=Microsoft.ACE.OLEDB.12.0;Data Source=" +Server.MapPath("App_Data\\BookRatings.accdb"));
conn.Open();

// DbCommand also implements IDisposable
using (OleDbCommand cmd = conn.CreateCommand())
{
   // create command with parameter placeholders
   cmd.CommandText = 
        @"INSERT INTO [user] ([userName], [Address],[telephone]....) " +
         "VALUES (@username, @address, @telephone,....)");

   // add named parameters
   cmd.Parameters.AddRange(new OleDbParameter[]
   {
        new OleDbParameter("@userName", userName),
        new OleDbParameter("@address", Address),
        new OleDbParameter("@telephone", Tel),
        ...
    };

    // execute
    cmd.ExecuteNonQuery();
}