VB.net 액세스 업데이트 쿼리

Question

VB.net 액세스 업데이트 쿼리에서 업데이트 쿼리 오류에 구문 오류가 발생했습니다. 내 쿼리는 다음과 같습니다 :

query = "UPDATE users SET username='" & newUsername & "', password='" & newPassword & "', department='" & newDepartment & "', display_name='" & newDisplayName & "', email='" & newEmail & "', extension='" & newExtension & "', access_level='" & newAccessLevel & "' WHERE id=" & usrID 

위의 변수 중 어떤 기호도 전혀 없습니다. 내가 도대체 ​​뭘 잘못하고있는 겁니까?

:: UPDATE :

UPDATE users SET username='alison', password='farm1234',department='1',display_name='Alison *****', email='production@**********.com', extension='1012',access_level='50' WHERE id=1 

이 쿼리로 실행하는 것이다.

Answer 1

오류는 예약 된 키워드 PASSWORD를 대괄호로 묶지 않고 사용함으로써 발생합니다.

Sql Injection 문제를 피하기 위해 항상 매개 변수화 된 쿼리뿐만 아니라 텍스트 값 (작은 따옴표 포함) 또는 십진수 값을 소수점 구분 기호 또는 날짜 값으로 구문 분석 할 때 구문 오류가 발생하지 않도록 항상 sql 명령을 빌드하는 데 문자열 연결을 사용하지 마십시오. .

그래서, 당신의 작업에 가능한 접근 방식은

query = "UPDATE users SET username=?, [password]=?, department=?, " & _ 
     "display_name=?, email=?, extension=?, access_level=?" & _ 
     " WHERE id=?" 

Using cmd = new OleDbCommand(query, connection) 
    cmd.Parameters.AddWithValue("@p1", newUsername) 
    cmd.Parameters.AddWithValue("@p2", newPassword) 
    cmd.Parameters.AddWithValue("@p3", newDepartment) 
    cmd.Parameters.AddWithValue("@p4", newDisplayName) 
    cmd.Parameters.AddWithValue("@p5", newEmail) 
    cmd.Parameters.AddWithValue("@p6", newExtension) 
    cmd.Parameters.AddWithValue("@p7", newAccessLevel) 
    cmd.Parameters.AddWithValue("@p8", usrID) 
    cmd.ExecuteNonQuery() 

End Using 

은은 OleDb가 SQL 명령 텍스트의 해당 자리를 찾기 위해 매개 변수 이름을 사용하지 않음을 명심 수 있습니다. 대신 위치 진행을 사용하므로 컬렉션에 매개 변수를 추가하면 SQL 명령 텍스트에 매개 변수가 나타나는 순서를 따라야합니다.

Answer 2

ConStr() 
    Qry="UPDATE users SET username=@uname, [password]=@pass, department=@dept, " & _ 
      "display_name=@dnam, email=@email, extension=@ext, access_level=@acslvl" & _ 
      " WHERE id=@id" 
    cmd = new oledbcommand(Qry,Conn) 
    cmd.Parameters.AddWithValue("@uname",newUsername) 
    cmd.Parameters.AddWithValue("@pass",newPassword) 
    cmd.Parameters.AddWithValue("@dept",newDepartment) 
    cmd.Parameters.AddWithValue("@dnam",newDisplayName) 
    cmd.Parameters.AddWithValue("@email",newEmail) 
    cmd.Parameters.AddWithValue("@ext",newExtension) 
    cmd.Parameters.AddWithValue("@acslvl",newAccessLevel) 
    cmd.Parameters.AddWithValue("@id",usrID) 
    cmd.ExecuteNonQuery()