asp.net 中sqlserver的问题？在线等

2007-04-29 01:39:54 216 阅读 AI 写同款 · GEO 优化AI 选题数据监测一键分发 ›

R语言灰色关联分析法输入数据并用DT包的datatable函数展示数据 ABDDEF分别对应第1到第6个供应商产品质量、技术水平、供应能力、经济效益、交货情况、市场影响度指标属于效益型指产品价格、地理位置、售后服务指标属于成本型指标。现分别对上述指标进行规范化：对于效益型指标（正项指标）标准化公式为： x∗=x−min(x)max(x)−min(x) x^{\ast}=\frac{x-min\left( x \right)}{max\left( x \right) -min\left( x \right)} x∗=max 阅读详情

请教大家一个Sql Server 问题，我做新闻系统时，如果插入新闻内容中含有单引号（'），比如：insert [news]([newsid],[newscontent]) values('0001','"+editor.text+"')"
editor.text的值中含有单引号',此时插入就会出错，请问该怎么办？

下面是我在sqlserver查询分析器中的语句
update [aspnet_Enterpriser] set [Title]='九鼎德盛',[Name]='九鼎德盛',[NewsContent]=''九鼎德盛'',[Date]='2007-4-29 9:34:00',[PicUrl]='enterpriser/images/200742994054.jpg',[NewsFrom]='九鼎德盛' where Id='24'提示出错，请大家帮忙？

...全文

XTDrone平台FAST-LIO2与ego-planner结合路径规划部署之前做了XTDrone平台FAST-LIO2的部署现在将其结合ego-planner进行导航规划，之前查看教程是使用视觉进行定位导航的，现在重新学习。修改advanced_param_xtdrone.xml，这里有视觉信息，不修改会报错显示为输入视觉话题信息。怎么描述，感觉当时觉得很难的问题突然就给解决了，一顿复杂，最近勤更新吧，继续开始学习。还有一个想法就是两个rviz结合在一起启动，写了一个demo，融合的不太好感觉额。改为只使用雷达点云，这里仿真的话题是/scan。阅读详情

wangfeng666

.NET社区 62,271 成员 668,968 内容

+ 关注 + 加入社区

切换为时间正序

sukaru 2007-04-29

打赏
举报

editor.text.Replace("'", "''");

y_dong119 2007-04-29

打赏
举报

SqlConnection conn=new SqlConnection("server=(local);uid=sa;pwd=;database=pubs");
string cmdtext="insert authors(au_id,au_lname,au_fname) values(@id,@au_lname,@au_fname)";
SqlCommand cmd=new SqlCommand(cmdtext,conn);
cmd.Parameters.Add("@id",SqlDbType.VarChar,50);
cmd.Parameters["@id"].Value="fdfd";
cmd.Parameters.Add("@au_lname",SqlDbType.VarChar,50);
cmd.Parameters["@au_lname"].Value="afafa";
cmd.Parameters.Add("@au_fname",SqlDbType.VarChar,50);
cmd.Parameters["@au_fname"].Value="fasfasfff";
conn.Open();
cmd.ExecuteNonQuery();
conn.Close();

抛砖引玉，楼主看下砖块

sun_Ke 2007-04-29

打赏
举报

nhtoby(飞不起的翼) 正解！
你仿照他那种写法就OK了。

sun_Ke 2007-04-29

打赏
举报

传参数的写法就不会有这种问题了.

nhtoby 2007-04-29

打赏
举报

public bool Insert(string userName,string blogContent,string weather,DateTime addTime)//这个是DAL层的
{
SqlParameter[] Parms = {
new SqlParameter("@WB_UserName",SqlDbType.VarChar),
new SqlParameter("@WB_BlogContent",SqlDbType.NText),
new SqlParameter("@WB_Weather",SqlDbType.VarChar),
new SqlParameter("@WB_AddTime",SqlDbType.DateTime)
};

Parms[0].Value = userName;
Parms[1].Value = blogContent;
Parms[2].Value = weather;
Parms[3].Value = addTime.Date;
int val = SqlHelper.ExecuteNonQuery("INSERT INTO WB_Blog(WB_UserName,WB_BlogContent,WB_Weather,WB_AddTime) VALUES(@WB_UserName,@WB_BlogContent,@WB_Weather,@WB_Addtime)", Parms);
if (val > 0)
{
return true;
}
else
{
return false;
}
}

//下面两个是sqlhelper类里面的
public DataSet Query(string cmdText, params SqlParameter[] commandParameters)
{
using (SqlConnection connection = new SqlConnection(connectionString))
{
DataSet ds = new DataSet();
SqlCommand cmd = new SqlCommand(cmdText, connection);
try
{
connection.Open();
PrepareCommand(cmd, cmdText, commandParameters);
SqlDataAdapter da = new SqlDataAdapter();
da.SelectCommand = cmd;
da.Fill(ds, "ds");
}
catch (System.Data.SqlClient.SqlException ex)
{
throw new Exception(ex.Message);
}
return ds;
}

}
private void PrepareCommand(SqlCommand cmd, string cmdText, SqlParameter[] cmdParms)
{
cmd.CommandText = cmdText;
cmd.CommandType = CommandType.Text ;
if (cmdParms != null)
{
foreach (SqlParameter parm in cmdParms)
cmd.Parameters.Add(parm);
}
}

ctto 2007-04-29

打赏
举报

使用参数：SqlParameter
这样不但解决了你的问题，而且能防止SQL注入式攻击

yaojian524 2007-04-29

打赏
举报

OracleParameter[] Parms = new OracleParameter[5];

Parms[0] = new OracleParameter("XXX", OracleType.Int32);
Parms[0].Value = yyy;
...........
Parms[4] = new OracleParameter("ZZZ", OracleType.Int32);
Parms[0].Value = sss;
用参数最好，不容易有漏洞

king1985_911 2007-04-29

打赏
举报

就是SqlParameter param=new SqlParameter()

wangfeng666 2007-04-29

打赏
举报

能参数怎么用呢？大家能给点具体的说法吗

dddd218 2007-04-29

打赏
举报

用参数

zzfloat 2007-04-29

打赏
举报

建议使用参数

wangfeng666 2007-04-29

打赏
举报

实际这两问还是一个问题，第二个只是把sql语句在查询窗口执行试试。这样还是不行

Snowdust 2007-04-29

打赏
举报

1.editor.text.Replace("'", "''");
2.where Id='24'改成where Id=24

hexinyu2005 2007-04-29

打赏
举报

'替换成两个

asp.net 中sqlserver的问题？在线等

相关推荐