SQL参数化（insert怎么用？）

[xuyipeng]

SQL参数化，但用到Insert into table(name,sex) values (@name,@sex) 就出错，提示“输入字符串格式不正确”，不知道前面的语句写的对不丢，还请大家帮忙看看！！！

[xuyipeng]

这样有区别吗？
[Quote=引用 3 楼 wennxxin 的回复:]
Insert into table(name,sex) values (@name,@sex)改为
Insert into table(name,sex) values(@name,@sex)
[/Quote]

[itliyi]

[Quote=引用 1 楼 echo0808 的回复:]
@name,@sex
这2个参数的类型和表里字段的类型是不是一样
[/Quote]同问
调试得到的数据到查询分析器里面执行下看看

[polarissky]

楼主把调用的具体代码贴出来看看呐

[xuyipeng]

部分代码：
string sql="insert into tblStuInfo (card,TestPro) values (@cardno,@testpro)";
SqlCommand cmd=new SqlCommand(sql,con);
cmd.Parameters.Add(new SqlParameter("@cardno",SqlDbType.NVarChar,50));
cmd.Parameters["@cardno"].Value=this.lbcard.Text.Trim();
cmd.Parameters.Add(new SqlParameter("@testpro",SqlDbType.NVarChar,50));
cmd.Parameters["@testpro"].Value=testpro.Trim();
if(Page.IsValid==true)
{
cmd.ExecuteNonQuery();
cmd.Dispose();
}

[echo0808]

你这代码。。。。
不知道是小弟我技术不好。。总觉得很多行很多余

[xuyipeng]

cmd.Parameters.Add(new SqlParameter("@cardno",this.lbcard.text.Trim()));
是不是这个意思

[echo0808]

恩
string sql="insert into tblStuInfo (card,TestPro) values (“+this.lbcard.Text.Trim()+”,“+testpro.Trim()+”)";
这样也可以吧

[xuyipeng]

[Quote=引用 14 楼 echo0808 的回复:]
恩
string sql="insert into tblStuInfo (card,TestPro) values (“+this.lbcard.Text.Trim()+”,“+testpro.Trim()+”)";
这样也可以吧
[/Quote]

这样写是没有问题的

[vip__888]

最好使用sqlhelper这样的去做 很方便使用

[xuyipeng]

但就是想知道用参数写，到底错在哪里？

[echo0808]

cmd.CommandType = CommandType.Text
这个你没有加吧
还有你确定你数据库表的这2个字段是nvarchar

[xuyipeng]

[Quote=引用 18 楼 echo0808 的回复:]
cmd.CommandType = CommandType.Text
这个你没有加吧
还有你确定你数据库表的这2个字段是nvarchar
[/Quote]

cmd.CommandType = CommandType.Text 这个是没有加
另外表里的这2字段就是nvarchar类型

[xuyipeng]

commandType的值默认是 commandType.Text

[xuyipeng]

为防止SQL注入，采用参数化，我不知道Insert 的时候有没有必要，还是直接
string sql="insert into tblStuInfo (card,TestPro) values (“+this.lbcard.Text.Trim()+”,“+testpro.Trim()+”)";

[echo0808]

防止注入我都是用存储过程写的
类视
using (SqlConnection conn = new SqlConnection(System.Configuration.ConfigurationManager.ConnectionStrings["HomeFeedDNS"].ConnectionString))
{
SqlCommand cmd = new SqlCommand("Home_User_Msg_Insert_p", conn);
cmd.CommandType = CommandType.StoredProcedure;
cmd.Parameters.Add(new SqlParameter("@UserId", userId));
cmd.Parameters.Add(new SqlParameter("@FeedType", FeedType));
cmd.Parameters.Add(new SqlParameter("@MsgContent", MsgContent));
cmd.Parameters.Add(new SqlParameter("@MsgId", SqlDbType.BigInt));
cmd.Parameters["@MsgId"].Direction = ParameterDirection.Output;
conn.Open();
cmd.ExecuteNonQuery();
return Convert.ToInt64(cmd.Parameters["@MsgId"].Value);
}

[戒烟戒酒戒编程]

[Quote=引用 11 楼 xuyipeng 的回复:]
部分代码：
string sql="insert into tblStuInfo (card,TestPro) values (@cardno,@testpro)";
SqlCommand cmd=new SqlCommand(sql,con);
cmd.Parameters.Add(new SqlParameter("@cardno",SqlDbType.NVarChar,50));
c……
[/Quote]

LZ这样写没有错 现在需要考虑的是你要添加的这两个字段的数据类型是否就是Nvacahr(50)

[xuyipeng]

存储过程+参数化

[jack15850798154]

[Quote=引用楼主 xuyipeng 的回复:]
SQL参数化，但用到Insert into table(name,sex) values (@name,@sex) 就出错，提示“输入字符串格式不正确”，不知道前面的语句写的对不丢，还请大家帮忙看看！！！
[/Quote]

Insert into 表名(name,sex) values (@name,@sex) 这句话我执行过了语法没有错误，
是不是你的参数有问题啊。
参数赋值 在.cs 文件中用
cmd.Parameters.Add("@name", 参数);
来添加。不知道你是不是别的地方有错误

[tkscascor]

#22 放注入只能用存储过程???,
lz的sql参数化代码没有错, 你看传的值对不对, 比如数据格式跟你数据库的格式是否对应上~

[xuyipeng]

谢谢大家帮助的，问题解决。