System.Data.SqlClient.SqlException：'附近的语法不正确

Question

我不明白为什么会出现此错误：

System.Data.SqlClient.SqlException: '12' 附近的语法不正确。'

我的代码：

Imports System.Data.SqlClient
Public Class produktm
    Dim Con As New SqlConnection("Data Source=(LocalDB)\MSSQLLocalDB;AttachDbFilename=C:\Users\MON\Documents\profitmon.mdf;Integrated Security=True;Connect Timeout=30")
    Public Sub populate()
        Con.Open()
        Dim sql = "select * from ProduktTable"
        Dim adapter As SqlDataAdapter
        adapter = New SqlDataAdapter(sql, Con)
        Dim builder As SqlCommandBuilder
        builder = New SqlCommandBuilder(adapter)
        Dim ds As DataSet
        ds = New DataSet
        adapter.Fill(ds)
        ProduktDataList.DataSource = ds.Tables(0)

        Con.Close()
    End Sub

    Private Sub Button1_Click(sender As Object, e As EventArgs) Handles Button1.Click

        Con.Open()
            Dim query As String
            query = "Insert Into ProduktTable values(" & ProduktId.Text & ",'" & ProdEmri.Text & ",'" & ProdSasia.Text & ",'" & ProdQmimi.Text & ",'" & ProdPershkrimi.Text & ",'" & ProdKategori.SelectedItem.ToString() & "')"
            Dim cmd As SqlCommand
            cmd = New SqlCommand(query, Con)
            cmd.ExecuteNonQuery()
            MsgBox("Produkti u shtua me sukses")
            Con.Close()

    End Sub

    Private Sub produktm_Load(sender As Object, e As EventArgs) Handles MyBase.Load
        populate()
    End Sub
End Class

Visual Studio 说这行是问题

        cmd.ExecuteNonQuery()

Answer 1

你缺少一些撇号：

query = "Insert Into ProduktTable values(" & ProduktId.Text & ",'" & ProdEmri.Text & ",'" & ProdSasia.Text & ",'" & ProdQmimi.Text & ",'" & ProdPershkrimi.Text & ",'" & ProdKategori.SelectedItem.ToString() & "')" 

应该是

query = "Insert Into ProduktTable values('" & ProduktId.Text & "','" & ProdEmri.Text & ",'" & ProdSasia.Text & "','" & ProdQmimi.Text & "','" & ProdPershkrimi.Text & "','" & ProdKategori.SelectedItem.ToString() & "')"

为了帮助，添加这一行：

Debug.WriteLine(query)

然后将输出复制/粘贴到 SSMS 中并进行测试

有更好的方法可以做到这一点，虽然不会让你接受 sql 注入，但这应该可以解决当前的问题。

Answer 2

Set a breakpoint 到“查询”行并检查“查询”字符串。

试试下面的代码：

query = "Insert Into ProduktTable values('" & ProduktId.Text & "','" & ProdEmri.Text & "','" & ProdSasia.Text & "','" & ProdQmimi.Text & "','" & ProdPershkrimi.Text & "','" & ProdKategori.SelectedItem.ToString() & "')"

Answer 3

子填充（）

不要在类级别声明连接。它们需要关闭并使用Using...End Using 块进行处理。以使用它们的方法保持联系。要节省键入，请在类级别创建一个包含连接字符串的字符串变量。在使用之前不要打开连接，在.Execute... 之前。 DataAdapter.Fill 和 DataAdapter.Update 如果发现连接已关闭，将打开和关闭连接。您不需要DataSet、CommandBuilder 或DataAdapter。您的DataAdapter 超出End Sub 的范围。不要将数据库代码与用户界面代码混在一起。

Private Sub produktm_Load(sender As Object, e As EventArgs) Handles MyBase.Load
    Dim dt = populate()
    ProduktDataList.DataSource = dt
End Sub

Public Function populate() As DatTable
    Dim dt As New DataTable
    Using Con As New SqlConnection(ConStr),
            cmd As New SqlCommand("select * from ProduktTable", Con)
        Con.Open()
        dt.Load(cmd.ExecuteReader)
    End Using
    Return dt
End Function

Button1_Click 和 InsertNewProductID

在调用InsertNewProduct 之前，您将对按钮单击中的用户输入进行任何验证。始终将数据库字段名称作为插入的一部分列出。

始终使用参数。

我不得不猜测我在 Insert 语句中使用的列名。我还不得不猜测Parameters.Add 字段的数据类型和大小。请检查您的数据库以获取正确的值。

我担心ProduktId 字段是一个自动编号的身份字段。如果是这样，则不应将其包含在 Insert 的字段列表中。不应该为它创建参数，也不应该传递任何值。数据库提供值。

Private Sub Button1_Click(sender As Object, e As EventArgs) Handles Button1.Click
    Dim RecordsEntered = InsertNewProduct(CInt(ProduktId.Text), ProdEmri.Text, ProdSasia.Text, ProdQmimi.Text, ProdPershkrimi.Text, ProdKategori.SelectedItem.ToString())
    If RecordsEntered = 1 Then
        MsgBox("Produkti u shtua me sukses")
    End If
End Sub

Private Function InsertNewProduct(Id As Integer, Emri As String, Sasia As String, Qmimi As String, Persh As String, Kategori As String) As Integer
    Dim RetVal As Integer
    Dim sql = "Insert Into ProduktTable (
                ProduktId,
                ProdEmri,
                ProdSasia,
                ProdQmimi,
                ProdPershkrimi,
                ProdKategori)
                Values
                (@ID, @Emri,@Sasia, @Qmimi, @Persh, @Kategori);"
    Using Con As New SqlConnection(ConStr),
            cmd As New SqlCommand(sql, Con)
        With cmd.Parameters
            .Add("@ID", SqlDbType.Int).Value = Id
            .Add("@Emri", SqlDbType.NVarChar, 100).Value = Emri
            .Add("@Sasia", SqlDbType.NVarChar, 100).Value = Sasia
            .Add("@Qmimi", SqlDbType.NVarChar, 100).Value = Qmimi
            .Add("@Persh", SqlDbType.NVarChar, 100).Value = Persh
            .Add("@Kategori", SqlDbType.NVarChar, 100).Value = Kategori
        End With
        Con.Open()
        RetVal = cmd.ExecuteNonQuery()
    End Using
    Return RetVal
End Function

这可能看起来有很大的变化，但正确使用参数以及处理连接和命令对于您的应用程序的整体成功非常重要。

请检查我对字段和表名的拼写。我几乎不能拼写我自己的语言。 :-)