SQL DateTime書式エラー

Question

string strQuery = "INSERT INTO [Order] (Quantity, Type, DateTime) 
values(" + qty + "," + type + "," + dtstmp.ToString("yyyy-mm-dd hh:mm:ss.fff") + ")"; 

SQLクエリ '12'

Exception thrown: 'System.Data.Odbc.OdbcException' in System.Data.dll 

近く

INSERT INTO [Order] (Quantity, Type, DateTime) values(1,'q',2016-44-08 12:44:39.128) 

不適切な構文エラーは、誰かが私には、この構文エラーを見つけ出す手助けすることはできますか？

Answer 1

datetime値は一重引用符で囲む必要があります。あなたのクエリがハッカーのための広い扉を開いているので、あなたの問題を解決しないであろうあなたの日付ストリングの前後に'を追加することによって、この

string strQuery = "INSERT INTO [Order] (Quantity, Type, DateTime) 
values(" + qty + "," + type + ",'" + dtstmp.ToString("yyyy-mm-dd hh:mm:ss.fff") + "')"; 

Answer 2

実際に簡単な修正をお試しください。このプレーンテキスト/連結文字列の代わりに、パラメータ化されたクエリを使用することをお勧めします。明らかにこの問題も修正されます。このためのコードは次のようになります。

string strQuery = "INSERT INTO [Order] (Quantity, Type, DateTime)Values(@qty,@type,@date)"; 
// create and open connection here 
using (SqlCommand cmdSQL = new SqlCommand(strQuery)) 
{ 
    // assign connection for this comnmand 
    cmdSQL.Parameters.Add("@qty", SqlDbType.Int).Value = qty; 
    cmdSQL.Parameters.Add("@type", SqlDbType.VarChar).Value = type; 
    cmdSQL.Parameters.Add("@date", SqlDbType.DateTime).Value = dtstmp; 
    cmdSQL.ExecuteNonQuery(); 
}