Блог

В настоящее время я использую C # для выполнения запросов к базе данных SQL. Запрос SELECT работает нормально, а запрос INSERT — нет.

Я запустил тот же запрос из самого SQL Server Manager, и он работает нормально, но когда я отправляю его с C # (используя страницу ASP с текстовыми полями для указания отправляемых значений для столбцов), страница просто обновляется и не показывает никаких ошибок.

Тот факт, что запрос SELECT работает, говорит мне, что сервер подключается нормально и что это не проблема. Я использовал точки останова в коде C #, чтобы проверить, правильно ли переменные отправляются из текстовых полей, и они должны быть.

Есть идеи, что происходит не так?

Вот код:

   protected void SendMyData_OnClick(object sender, EventArgs e)
    {
        //(NO RECORD SET IS NEEDED IN THIS FUNCTION SEEING AS HOW WE'RE NOT FETCHING ANYTHING) 

         SqlConnection conServer = new SqlConnection(CDatabase.ConnectionString());

        // Database variables
        string Track_Name   = TextBox8.Text;

        string Track_No     = TextBox10.Text;
        long TN             = Convert.ToInt64(Track_No);

        string Artist_ID    = TextBox11.Text;
        long ArtID          = Convert.ToInt64(Artist_ID);

        string Album_ID     = TextBox12.Text;
        long AlbID          = Convert.ToInt64(Album_ID);
        //SUB THESE INTO THE SQL QUERY 

        try
        {
            string qrySQL = string.Format("INSERT INTO Tracks ([Track_Name],[Track_No],[Artist_ID],[Album_ID]) VALUES ({0}, {1}, {2}, {3})", Track_Name, TN, ArtID, AlbID);

            //This is the string Used to send (Note the NonReturn(As we aren't fetching anything) : " conServer.Open();CDatabase.ExecuteNonReturnQuery(qrySQL);"

            conServer.Open();
            //(NO RECORD SET IS NEEDED IN THIS FUNCTION SEEING AS HOW WE'RE NOT FETCHING ANYTHING) 
            CDatabase.ExecuteNonReturnQuery(qrySQL);
        }
        catch
        {
        }

        finally
        {
           conServer.Close();
        }
  

Что ж, здесь есть как минимум две серьезные ошибки:

• Вы встраиваете значения непосредственно в свой SQL. Добро пожаловать в страну атак с использованием SQL-инъекций. Не делайте этого.Вместо этого используйте параметризованный SQL, указав значения отдельно. (См SqlCommand.Parameters . Документы для примера.)
• Вы перехватываете все исключения и просто проглатываете их без регистрации. Вполне возможно, что этот код выдает исключение, которое точно объясняет, что происходит не так, но вы никогда не узнаете, потому что ваш код имеет свои метафорические пальцы в ушах.

Я предполагаю, что он выдает исключение из-за того, что имя дорожки не параметризовано и не заключено в кавычки — у вас есть произвольная строка в середине вашего SQL.

 using (SqlConnection con = new SqlConnection(...))
{
    con.Open();
    using (SqlCommand command = ...)
    {
        // Execute the command
    }
}