Giá trị thoát trong truy vấn SQL (C# với trình kết nối SQL)

Question

Tôi biết tôi có thể sử dụng các tham số, nhưng cách đúng để thoát khỏi chuỗi chuỗi là gì? Truy vấn có thể là như thế này:

"INSERT INTO records (ReferenceID,Name,Note,Author) VALUES ('" + ID+ "','" + addlevel.textBox1.Text + "','"+addlevel.textBox2_note.Text+ "','"+Program.Username+"')"; 

Tôi CHỈ tò mò, chỉ muốn biết :)

EDIT: Nhưng những gì về điều đó? "CREATE TABLE '+ chuỗi' .... thông số không thể được sử dụng ở đây

Answer 1

Nếu bạn cần thực hiện các thao tác cơ sở dữ liệu, chẳng hạn như tạo bảng, thì bạn nên sử dụng SQL Server Management Objects thay vì thực hiện chuỗi SQL.

Đối với thông số hoạt động CRUD hoàn toàn là đường dẫn thực sự duy nhất.

CẬP NHẬT: Có vẻ như thư viện máy khách MySQL chứa phương thức trợ giúp cho tác vụ không được thông báo này. Bạn có thể gọi MySqlHelper.EscapeString (chuỗi).

Answer 2

Cách đúng là sử dụng các thông số

!. 'Just Say No' để cố gắng làm thoát cho mình - đó là Tại sao bạn nghĩ rằng bạn muốn muốn để thoát chúng theo cách thủ công thay vì sử dụng các thông số?

Answer 3

Nếu bạn thực sự, thực sự, thực sự cần phải tự thoát (không có dấu hiệu nào trong ví dụ của bạn):

string EncodeMySqlString(string value) { 
    return value.Replace(@"\", @"\\").Replace("'", @"\'") 
} 

Answer 4

Tôi nghĩ rằng điều duy nhất bạn cần làm là value = value.Replace("'", "''")

Tất nhiên bạn không nên làm điều này, nhưng bạn có biết điều đó.

Chỉnh sửa: Thực hiện điều này là sai đối với MySQL. Nó sẽ làm việc cho PostgreSQL, MS SQL và Oracle.

Answer 5

sử dụng tham số commnd thay thế. Nó tự chăm sóc thoát. Đó là giải pháp cũng chống lại tiêm sql.