我正在使用 C# 和 MySQL 實現一個登錄表單，用戶應該輸入他/她的用戶名和密碼，然后選擇他/她是學生、講師還是管理員。然后我想檢查輸入的值是否正確，這是我的代碼：connection.Open();MySqlCommand cmd = new MySqlCommand();cmd.CommandText = "Select * from @userType where username=@user and password=@pass";cmd.Parameters.AddWithValue("@userType", userType);cmd.Parameters.AddWithValue("@user", user);cmd.Parameters.AddWithValue("@pass", pass);cmd.Connection = connection;MySqlDataReader login = cmd.ExecuteReader();但是查詢沒有用！錯誤信息：MySql.Data.MySqlClient.MySqlException, HResult=0x80004005, Message=您的 SQL 語法有錯誤；檢查與您的 MySQL 服務器版本相對應的手冊，了解在“student”附近使用的正確語法，其中用戶名='noor123' 和密碼='123456'' 在 Source=MySql.Data 行錯誤是什么？
2 回答
四季花海
TA貢獻1811條經驗 獲得超5個贊
該代碼生成的 SQL 查詢是：
Select * from 'student' where username="noor123" and password="123456"
表不能在里面''，因為那不是正確的 SQL 語法。
您不能使用參數作為表名，而是這樣做，這樣您就不會獲得''表名：
connection.Open();
MySqlCommand cmd = new MySqlCommand();
cmd.CommandText = "Select * from " + userType.ToString() + " where username=@user and password=@pass";
cmd.Parameters.AddWithValue("@user", user);
cmd.Parameters.AddWithValue("@pass", pass);
cmd.Connection = connection;
MySqlDataReader login = cmd.ExecuteReader();
catspeake
TA貢獻1111條經驗 獲得超0個贊
如果這只是一個作業而不是真實世界的程序，那么請執行以下操作。
確保變量 userType、user 和 pass 是 String 類型。
確保 userType 表示語法正確的表或視圖名稱。
更新這一行
cmd.CommandText = $"Select * from {userType} where username=@user and password=@pass";刪除此行
cmd.Parameters.AddWithValue("@userType", userType);
我相信這應該有所幫助。我沒有檢查自己。
然而在現實世界中你不應該這樣編程。在處理身份驗證/授權時有許多安全考慮因素，更不用說 sql 注入的可能性了。如果這是一個真實的項目，那么我建議您閱讀有關該主題的適當材料。
- 2 回答
- 0 關注
- 135 瀏覽
添加回答
舉報
0/150
提交
取消