근처의 구문이 잘못되었습니다 '('

Question

나는 테이블에 데이터를 업데이트에 관한 질문이 여기에 코드입니다 :..

Dim cmdUp As New SqlCommand("UPDATE TblQuestion SET (QuestionTxt =" + question.Text + ") where QuestionId=@id", conn) 

conn.Open() 
cmdUp.Parameters.AddWithValue("@id", result) 

cmdUp.ExecuteNonQuery() 
conn.Close() 

오류, 근처의 구문이 잘못되었습니다 '('그래서 라인 cmdUp.ExecuteNonQuery()에 나타납니다 , 어떻게 .

Answer 1

귀하의 문제는 단일 따옴표로 둘러싸없이 문자열 값을 전달하기 위해 임시로 인해 발생합니다. question.Text을 작은 따옴표로 묶으면 문제가 해결 될 수 있습니다. 그러나 이것은 SQL 명령으로 사용되는 문자열 텍스트를 처리하는 올바른 방법이 아닙니다.

이런 종류의 시나리오에는 한 가지 방법 만 있습니다. 매개 변수가있는 쿼리 사용 (그런데를, 쿼리의 절반은 이미 매개 변수, 그래서 왜 안 질문 텍스트?) 다른 대답 설명하지만, 구문 분석 오류도 방지로

Dim cmdUp As New SqlCommand("UPDATE TblQuestion " & _ 
          "SET QuestionTxt =@quest " & _ 
          "where QuestionId=@id", conn) 

conn.Open() 
cmdUp.Parameters.AddWithValue("@id", result) 
cmdUp.Parameters.AddWithValue("@quest", question.Text) 
cmdUp.ExecuteNonQuery() 
conn.Close() 

매개 변수화 된 쿼리는 SQL 주입을 피하십시오. 사용자가 작은 따옴표가 포함 된 질문을 입력하면 어떻게됩니까? 다른 구문 오류가 발생합니다.

Answer 2

이 당신의 오류를 수정합니까?이 오류를 해결하기 위해

Dim cmdUp As New SqlCommand("UPDATE TblQuestion SET QuestionTxt ='" + 
          question.Text + "' where QuestionId=@id", conn) 

을 원하지만 당신은 훨씬 더 큰 문제가있다. 이 코드는 SQL Injection 공격을 허용합니다.

HT : http://xkcd.com