追加情報： 's'の近くの構文が正しくありません

Question

私の間違いはどこですか？ 'の近くに間違った構文が見つかりません！

public static DataTable InsertConnect(ComboBox Site , ComboBox server , ComboBox Host , ComboBox Domain , Label Price) 
{ 
    SqlConnection cn = new SqlConnection(); 
    cn.ConnectionString = Server.Connection; 
    cn.Open(); 

    SqlCommand cmd = new SqlCommand(); 
    cmd.Connection = cn; 
    cmd.CommandText = "insert into tblPrice(Site,Server,Host,Domain,Price) 
     values('" + Site.Text + "','" + server.Text + "','" + Host.Text + "','" + Domain.Text + "','" + Price.Text + "')'"; 


    SqlDataAdapter da = new SqlDataAdapter(cmd.CommandText, cn); 
    DataTable dt = new DataTable(); 
    da.Fill(dt); 
    return dt; 
} 

Answer 1

理由は、クエリに値を渡すためSqlParameterを使用していないため。
パラメータを使用している場合は、クエリに特別な'文字が含まれていても問題は発生しません。

常にSqlParametersを使用してください。あなたのcmdがクエリを実行するために必要なすべての情報が含まれているため

public static DataTable InsertConnect(ComboBox Site , ComboBox server , ComboBox Host , ComboBox Domain , Label Price) 
{ 
    using (var cn = new SqlConnection(Server.Connection)) 
    { 
     cn.Open(); 

     using (var cmd = new SqlCommand()) 
     { 
      cmd.Connection = cn; 
      cmd.CommandText = "insert into tblPrice(Site,Server,Host,Domain,Price) values (@Site, @Server, @Host, @Domain, @Price)"; 
      var parameters = new[] 
      { 
       new SqlParameter { ParameterName = "@Site", .SqlDbType = SqlDbType.VarChar, .Value = Site.text }, 
       new SqlParameter { ParameterName = "@Server", .SqlDbType = SqlDbType.VarChar, .Value = server.text }, 
       new SqlParameter { ParameterName = "@Host", .SqlDbType = SqlDbType.VarChar, .Value = Host.Text }, 
       new SqlParameter { ParameterName = "@Domain", .SqlDbType = SqlDbType.VarChar, .Value = Domain.Text }, 
       new SqlParameter { ParameterName = "@Price", .SqlDbType = SqlDbType.VarChar, .Value = Price.Text } 
      } 
      cmd.Parameters.AddRange(parameters); 

      SqlDataAdapter da = new SqlDataAdapter(cmd); 
      DataTable dt = new DataTable(); 

      da.Fill(dt); 
      return dt; 
     } 
    } 
} 

次に、あなたは、パラメータとしてSqlCommand取るSqlDataAdapterのコンストラクタを使用することができます。

Answer 2

問題はおそらく、アポストロフィ（ '）を含んでいるパラメータの一つである： はここに私のコードです。 cmd.CommandTextを印刷しようとすると、有効なSQLコマンドではないことがわかります。

これは、それがSQLインジェクションの基礎です。解決策は、値、特に文字列を連結してSQLコマンドを構築することではありません。代わりに、コマンドパラメータを使用して、パラメータ化されたコマンドを作成します。

あなたは、MSDNの詳細を学ぶことができます：How to: Execute a Parameterized Query