SQL INSERT INTO ile özel karakterler kaçış yoluyla C#

Question

Google'da arama yaptım ve henüz sorunum için herhangi bir çözüm bulamadım. Temel olarak bir resim galerisinde kurulum yapan bir yorum feed'im var (facebook veya stackoverflow yorumlarına benzer). Kullanıcılar yorum gönderebilir ve diğer kullanıcılar tarafından gönderilen yorumları okuyabilir. Bu iyi çalışıyor.

Incorrect syntax near 's'. Unclosed quotation mark after the character string ')'.

Ben SQL post ediyorum comment 81 en geçerli: Bir kullanıcı kesme işareti Yorum yazmak için çalışırsa Ancak, ben güzel bir web uygulaması hatası alıyorum.tüm özel karakterlerden kaçacak bir çözüm istiyorum, böylece kullanıcı ne yazıyorsa yazsın, hata yapmaz.

Fetcher.postUserComments(connectionString, imagePath, comments.ToString(), userId); 

Alıcısı

sqlCom.CommandText = "INSERT INTO dbo.Table(userId, imagePath, userComments, dateCommented) VALUES ('" + userId + "', '" + imagePath + "', '" + comments + "', '" + theDate + "')"; 

veri türü dizedir ve de bir .ToString() ama hiçbir şans yapıyor denedim arkasında

Kodu. Herhangi bir faydalı giriş için şimdiden teşekkür ederiz.

Answer 1

Hep parametreli querys kullanmalıdır. Onlar size yaşıyorsanız gibi durumlardan kaçınmak, hem de SQL Injection attacks

sqlCom.CommandText = "INSERT INTO dbo.Table(userId, imagePath, userComments, dateCommented) VALUES (@userId, @imagePath, @userComments, @dateCommented)"; 

sqlCom.Parameters.AddWithValue("@userId", userId); 
sqlCom.Parameters.AddWithValue("@imagePath", imagePath); 
sqlCom.Parameters.AddWithValue("@userComments", comments); 
sqlCom.Parameters.AddWithValue("@dateCommented", theDate); 

Answer 2

Açıklamalarla Alternatif

comments = comments.Replace("'", "''"); 

yılında 'karakterini çoğaltmak gerekir, ancak fazla güvenlik, örnek, SQL parametresini kullanmaktır:

cmd.CommandText = "SELECT * FROM Client, Project WHERE Client.ClientName = @ClientName AND Project.ProjectName = @ProjectName"; 

cmd.Parameters.Add(new SqlParameter("@ClientName",client.SelectedValue)); 

cmd.Parameters.Add(new SqlParameter("@ProjectName",projnametxt.Text)); 

Answer 3

Bunu ASLA ... kolay SQL enjeksiyonuna olanak tanır çünkü yardımcı olur. Ben

;drop database master; 

kullanım parametreleri yerine bunu yapma SQL enjeksiyon

command.Parameters.Add(new SqlParameter("@Param", value));