c# - 如何在 C# 中执行包含 "-"、 "\"或 ";"字符串的 TSQL 输入命令

Question

我有一个 SqlCommand 试图在 SQL Server 数据库表中插入一行。感兴趣的列是一个 nvarchar(100)，需要输入的数据将包括“-”、“;”等字符。和 ”\”。当我插入一个没有这些字符的字符串时，一切正常。当我尝试插入包含这些字符的字符串时，代码失败，因为这些字符按字面意思被代码理解，因此报告语法错误。我已经使用动态 sql 单独在 TSQL 中解决了这样的问题，但是我找不到任何好的引用来在 C# 中执行此操作。我想我可以创建一个存储过程并传递值，但是有没有一种方法可以单独使用 C# 高效地执行此操作？如果是这样，如何？还是将值传递给存储过程是更好的方法？

这是代码的简化版本:

String SQLServerInstanceNames = "ussqlclus-db43\ussqlclusdb43; ussqlclus-db44\ussqltrysdb44; ussqltrys-db45\ussqltrysdb45;"

//Create Connection (Get Connection string from Server Explorer)
SqlConnection myConnection = new SqlConnection("Data Source=SERVER1;Initial Catalog=Database1;Integrated Security=True");

//Open connection
try { myConnection.Open(); }
catch (Exception e) { Console.WriteLine(e.ToString()); }

SqlCommand myCommand = new SqlCommand("INSERT INTO [dbo].[Table1]" +
"([SQLServerInstanceNames])" +
"VALUES (SQLServerInstanceNames);", myConnection);

//Execute command
myCommand.ExecuteNonQuery();

//Close connection
try { myConnection.Close(); }
catch (Exception e) { Console.WriteLine(e.ToString()); }

Answer 1

试试SqlParameters .它将使您免于 Sql 注入(inject)以及您当前的问题。

myCommand.Parameters.AddWithValue("@param1", myValueWithCharacters);