c#中的INSERT INTO语法错误

Question

请找出我的 code.it show syntax error INSERT INTO 语句中的错误。

OleDbCommand cmd = new OleDbCommand("INSERT INTO tbbill(invoice,datetime,custm,total,tax,grand)VALUES(" + Convert.ToInt32(txtinvoice.Text) + ",'" + dateTimePicker1.Value.ToString("yyyy/MMM/dd") + "','" + Convert.ToString(txtcn.Text) + "','" + txtttl.Text + "','" + Convert.ToInt32(cmtax.Text) + "','" + txtgrdttl.Text + "')", con);
cmd.CommandType = CommandType.Text;
cmd.ExecuteNonQuery();
con.Close();

Answer 1

这应该有效：

OleDbCommand cmd = new OleDbCommand(@"INSERT INTO tbbill(invoice,[datetime],custm,total,tax,grand) 
VALUES(" + Convert.ToInt32(txtinvoice.Text) + ",\"" +          
dateTimePicker1.Value.ToString("yyyy/MMM/dd") + "\",\"" + 
Convert.ToString(txtcn.Text) + "\",\"" + txtttl.Text + "\",\"" + 
Convert.ToInt32(cmtax.Text) + "\",\"" + txtgrdttl.Text + "\")", con);
cmd.CommandType = CommandType.Text; 
cmd.ExecuteNonQuery(); 
con.Close();

编辑：

正如其他人所说，您的查询仍然可以 SQL 注入。 Dmitry 的回答将是最安全有效的选择。

Answer 2

除了你奇怪的 INSERT 语句之外，你的列名 datetime 在 Access 中是一个 reserve word。你应该像下面那样起诉 [] 来逃避它。

INSERT INTO tbbill(invoice,[datetime],custm,total,tax,grand)

您当前的查询对 SQL 注入开放，因此按照评论中的建议考虑改用参数化查询。

Answer 3

看来您在这个简短的片段中犯了所有可能的错误。预计会有这样的事情：

// Make SQL readable
String sql =
  @"INSERT INTO tbbill(
      invoice,
      [datetime], /* reserved word */
      custm,
      total,
      tax,
      grand)
    VALUES(
      ?, ?, ?, ?, ?, ?)"; // Make SQL parametrized

// Put IDisposable into "using"
using (OleDbCommand cmd = new OleDbCommand(sql, con)) {
  // Parameterized 
  cmd.Parameters.Add(txtinvoice.Text);
  cmd.Parameters.Add(dateTimePicker1.Value);
  cmd.Parameters.Add(txtcn.Text);
  cmd.Parameters.Add(txtttl.Text);
  cmd.Parameters.Add(cmtax.Text);
  cmd.Parameters.Add(txtgrdttl.Text);

  cmd.ExecuteNonQuery();
}

// Do not close that's not opened by you (i.e. con)

c#中的INSERT INTO语法错误

INSERT INTO syntax error in c#

c#

sql

ms-access-2003