ExecuteNonQuery（）を使用しているPowershellスクリプトで例外が発生しました "不正な構文が 's'の近くにあります。

Question

私はファイルとフォルダからデータを収集し、SQLデータベースにアップロードする非常に簡単なスクリプトを作成しました。私は自分の問題がparameterized sqlの問題に関連していると信じていますが、どうやって、なぜか分かりません。

私は私は何をする必要があることになっていくつかの文字を防ぐために、SQL文字列を再フォーマットであることを考える。

すべてのヘルプ高く評価しました。あなたが挿入しようとしているものは何でもデータ

INSERT INTO FileSizeTable (FileName,FileSize,FileNameLength,Date) VALUES ('ATI Te 
chnologies','61.16 MB','39','05/24/2013 21:05:56') 
ATI Technologies   61.16 MB           39 
1 
INSERT INTO FileSizeTable (FileName,FileSize,FileNameLength,Date) VALUES ('ATIToo 
l','0.00 MB','30','05/24/2013 21:05:56') 
ATITool      0.00 MB           30 
1 
INSERT INTO FileSizeTable (FileName,FileSize,FileNameLength,Date) VALUES ('Auran' 
,'7,496.04 MB','28','05/24/2013 21:05:56') 
Auran      7,496.04 MB          28 
Exception calling "ExecuteNonQuery" with "0" argument(s): "Incorrect syntax near 
's'. 
Unclosed quotation mark after the character string ')'." 
At line:143 char:25 
+       $Command.ExecuteNonQuery() 
+       ~~~~~~~~~~~~~~~~~~~~~~~~~~ 
+ CategoryInfo   : NotSpecified: (:) [], MethodInvocationException 
+ FullyQualifiedErrorId : SqlException 

Answer 1

：ここ

コードです：ここでは

$Command = New-Object System.Data.SQLClient.SQLCommand 
$Command.Connection = $dbConnection 
$Command.CommandText = "INSERT INTO FileSizeTable (FileName,FileSize,FileNameLength,Date) VALUES ('$i','$items','$temp','$currentDate')" 

$Command.ExecuteNonQuery() 

"INSERT INTO FileSizeTable (FileName,FileSize,FileNameLength,Date) VALUES ('$i','$items','$temp','$currentDate')" 

が出力されます（私はテストとして、それを使用してSQLコマンド文字列を押し出します） "Auran"レコードの後に​​単一引用符/アポストロフィがある文字列連結を使用してクエリを構築する場合、これは という巨大なリスクであり、SQLインジェクション攻撃を開始します。

作成している文字列をSSMSまたはSQL構文の強調表示が可能な他のツールに貼り付けると、その文字列が表示されます。

あなたがコーディングホラーで見つけた投稿は、正しいアドバイス/答えを与えます - パラメータ化されたクエリを使用すると、これはなくなります。パフォーマンスとセキュリティ上の理由から、最近ではSQL文の文字列連結が推奨されていません。ソースコードとして読みやすくすることは言うまでもありません。

$Command = New-Object System.Data.SQLClient.SQLCommand 
$Command.Connection = $dbConnection 
$Command.CommandText = "INSERT INTO FileSizeTable (FileName,FileSize,FileNameLength,Date) VALUES (@name,@size,@length,@dt)"; 
$Command.Parameters.Add("@name", $i); 
$Command.Parameters.Add("@size", $items); 
$Command.Parameters.Add("@length", $temp); 
$Command.Parameters.Add("@dt", $currentdate); 
$Command.ExecuteNonQuery();