INSERT INTO 语句的语法错误???

Question

异常详细信息: System.Data.OleDb.OleDbException: INSERT INTO 语句的语法错误。
行 39：   ConnStr="Insert Into news(biaoti,zhaizi,neirong,shijian,img,counter) VALUES('"+biaoti.Text+"', '"+zhaizi.Text+"', '"+neirong2+"', '"+now.ToString()+"', '"+img.Text+"',0)";
 

Answer 1

这样的 如过那个 Text 里有 ['] 什么的就出错了
建议用
ConnStr="Insert Into news(biaoti,zhaizi,neirong,shijian,img,counter) 
VALUES
(?, ?, ?, ?, ?,0)";
然后用
myCommand.CommandText = ConnStr;
myCommand.Parameters.Add("biaoti",OleDbType.VarChar);
myCommand.Parameters["biaoti"].Value = biaoti.Text
剩下的不说了都一样

Answer 2

把执行插入的语句屏蔽掉，然后把sql语句打印出来，如果还看不错来，就直接放到sqlerver中执行，sqlerver一般能给出直接的错误提示

Answer 3

建议把ConnStr输出看看到底错在哪里, 楼上说的很好的:)

Answer 4

to:FlashElf(銘龘鶽)关于你说的出现"'"的问题，也可以使用
Server.UrlEncode()
Server.UrlDecode()
来解决

Answer 5

er) VALUES('
中间加个空格间隔一下
er) VALUES ('

Answer 6

shijian是什么数据类型，你最好对now进行格式化，比如DateTime.Now.ToShortDateString()

Answer 7

ConnStr="Insert Into news(biaoti,zhaizi,neirong,shijian,img,counter) VALUES('" & biaoti.Text & "', '" & zhaizi.Text & "', '" & neirong2 & "', '" & now.ToString() & "', '" & img.Text & "',0)";
 改成这样试下

Answer 8

这样的 如过那个 Text 里有 ['] 什么的就出错了
建议用
ConnStr="Insert Into news(biaoti,zhaizi,neirong,shijian,img,counter) 
VALUES
(?, ?, ?, ?, ?,0)";
然后用
myCommand.CommandText = ConnStr;
myCommand.Parameters.Add("biaoti",OleDbType.VarChar);
myCommand.Parameters["biaoti"].Value = biaoti.Text
剩下的不说了都一样
就按人家说得做，没错

Answer 9

用参数运行SQL可以防止SQL注入，屏蔽特殊字符。