System.Data.OleDb.OleDbException：INSERT INTOステートメントの構文エラー

Question

public void RegisterUser(string passw,string uname ,string fname ,string lname, string email) 
{ 
    string strSql = @"INSERT INTO User (passw,uname,fname,lname,email) values ('" + passw + "','" + uname + "','" + fname + "','" + lname + "','" + email + "')";               
    cn.Open(); 
    OleDbCommand cmd = new OleDbCommand(strSql,cn); 
    int yy= cmd.ExecuteNonQuery(); 
    cn.Close(); 
    cn.Dispose(); 

} 

は関係なく、私は同じエラーに を得るのですかどのような誰もがここで間違って何かを見ていないのでしょうか？ またはこの問題を解決する別の創造的な方法があります ありがとう

Answer 1

ここであなたのコードは、ユーザーの入力に応じて動的に変更することができます。それがエラーの原因です。

あなたの入力フィールドにapql [']が含まれていてsqlブレイクが含まれていて閉じられていない引用符がある場合は説明しましょう。

また、コードはSQLインジェクション攻撃に公開されています。

パラメータをパラメータとして渡すことは、差別的に扱われ、安全であり、SQLインジェクションを妨げることをお勧めします。

public void RegisterUser(string passw,string uname ,string fname ,string lname, string email) 
{ 
    string strSql = @"INSERT INTO User (passw,uname,fname,lname,email) values  (@passw,@uname,@fname,@lname,@email)";               
    cn.Open(); 
    OleDbCommand cmd = new OleDbCommand(strSql,cn); 
    cmd.Parameters.AddWithValue("@passw",passw); 
    cmd.Parameters.AddWithValue("@uname",uname); 
    cmd.Parameters.AddWithValue("@fname",fname); 
    cmd.Parameters.AddWithValue("@lname",lname); 
    cmd.Parameters.AddWithValue("@email",email); 
    int yy= cmd.ExecuteNonQuery(); 
    cn.Close(); 
    cn.Dispose(); 
} 

Answer 2

Oracleでは、userは予約語であり、INSERT INTO User ...はORA-00903: invalid table nameを生成します。