c# - 即席查询字符串导致语法错误

Question

我创建了一个网站，但我的登录系统中不断出现语法错误。

                 conn.Open();
                 int amountOfUsers = (int)command.ExecuteScalar();

                 if (amountOfUsers == 1)
                 {
                //User exists, check if the password match
                query = string.Format("SELECT password FROM users WHERE name = '{0}", login);
                command.CommandText = query;
                string dbPassword = command.ExecuteScalar().ToString();

Answer 1

您还没有关闭字符串标识符 {0}格式字符串中带有撇号:

query = string.Format("SELECT password FROM users WHERE name = '{0}'", login);

但我强烈建议您不要在 SQL 中使用格式字符串，因为它是 SQL 注入(inject)的一个很好的安全漏洞!