执行 INSERT 时出现 SQL 错误：“s”附近的语法不正确 [重复]

Question

我正在尝试创建一个 Windows 表单，当我输入数据并单击提交时，它会将数据插入到我的数据库中。它适用于简短的事情，但是当我尝试输入一些较长的句子时，它会说：

这是代码：

private void SubmitButton_Click(object sender, EventArgs e)
{
    con.Open();
    cmd = new SqlCommand("INSERT INTO Jokes VALUES('" + EnterJoke.Text + "', '" + EnterAnswer.Text + "')", con);

    cmd.ExecuteNonQuery();

    MessageBox.Show(" Data Has Been Saved In Database ");
    con.Close();
}

我在这一行得到错误：

cmd.ExecuteNonQuery();

Answer 1

输入文本必须有一个特殊字符标点符号，该标点符号不会被视为文字文本的一部分，因为您的代码正在执行纯连接。

试试下面修复两个问题的代码：

1. 最重要的是 SQL 注入漏洞。
2. 其次，您的问题（如果它与具有特殊字符的输入字符串有关）

    private void SubmitButton_Click(object sender, EventArgs e)
    {
        SqlParameter joke = new SqlParameter();
        joke.ParameterName = "@joke";
        joke.SqlDbType = SqlDbType.VarChar;
        joke.Value = EnterJoke.Text;

        SqlParameter answer = new SqlParameter();
        answer.ParameterName = "@answer";
        answer.SqlDbType = SqlDbType.VarChar;
        answer.Value = EnterAnswer.Text;

        cmd = new SqlCommand("INSERT INTO Jokes VALUES(@joke, @answer)", con);    
        cmd.Parameters.Add(joke);
        cmd.Parameters.Add(answer);

        con.Open();
        cmd.ExecuteNonQuery();

        MessageBox.Show(" Data Has Been Saved In Database ");
        con.Close();
    }