我在这个可爱的星球上做过很多参数化查询,没有人抛出过这样的错误......WTFudge?!?!
错误:
There was an error parsing the query. [
Token line number = 1,
Token line offset = 20,
Token in error = @table ]
显然编译器不喜欢我的 SQL 语句...但我看不出问题???
这是我的代码。
using (SqlCeConnection con = new SqlCeConnection(_connection))
{
string sqlString = "SELECT @colID FROM @table WHERE @keyCol = @key";
SqlCeCommand cmd = new SqlCeCommand(sqlString, con);
cmd.Parameters.Add(new SqlCeParameter("@table", tableName));
cmd.Parameters.Add(new SqlCeParameter("@colID", columnIdName));
cmd.Parameters.Add(new SqlCeParameter("@keyCol", keyColumnName));
cmd.Parameters.Add(new SqlCeParameter("@key", key));
try
{
con.Open();
return cmd.ExecuteScalar();
}
catch (Exception ex)
{
Console.Write(ex.Message);
throw new System.InvalidOperationException("Invalid Read. Are You Sure The Record Exists", ex);
}
finally
{
if (con.State == ConnectionState.Open)
con.Close();
cmd.Dispose();
GC.Collect();
}
}
如您所见,它是一个非常简单的 SQL 语句。我虽然“@table”可能被愚蠢地保留了或什么的......所以我试过@tableName,@var,@everything!不知道是什么问题。
在调试期间,我检查了 SqlCeParameterCollection 中实际上有一个 @table 参数,它就在那里。晴天!!
最佳答案
因为您使用的是 C#(而不是存储过程)
string sqlString = "SELECT " + columnIdName +
" FROM " +tableName "WHERE " + keyColumnName + "= @key";
您需要验证 columnIdName、tableName、keyColumnName 都被限制在一个值列表中(或者至少,将长度限制为 50 个字符),否则这个过程针对不安全和 sql 注入(inject)攻击进行了优化.
关于c# - SqlCe 参数错误,我们在Stack Overflow上找到一个类似的问题: https://stackoverflow.com/questions/6843065/