宣言された変数へのデータベース

-3

私は宣言された変数にStudNameの内容を渡したいと思います。私は、「+ a.ToString +」試みたが、まだ私はstudentNumberのデータベース列が数値であるが、あなたは半分英数字としてそれを治療しているエラー宣言された変数へのデータベース

string a; 

connection.Close(); 
connection.Open(); 
String strSQL = "select *from Students where StudName = '" +a.ToString() + "' and StudNum = '" + studentNumber; 
OleDbCommand command = new OleDbCommand(strSQL);

出典

2016-05-28 Mark Gallos

エラーとは何ですか？なぜあなたはあなたのモニター上にある情報を推測しようとするべきですか？そのコードには多くの問題があります。 – Steve

文字列を連結するためのパラメータを使用します。 SQLインジェクションについて読む –

SQLインジェクションに注意してください！ – Odrai

StudNum = '" + studentNumber

を得ました。あなたがprotect against an SQL Injection attackにパラメータ化コマンドを使用する必要が

ソリューション

StudNum = " + studentNumber

。また、アポストロフィなどを含む変数などの問題も解決され、SQLも失敗する可能性があります。

出典

2016-05-28 14:05:10

宣言された変数へのデータベース

答えて

関連する問題