ユーザーコードでSQL例外が処理されない

Question

以下のエラーは、以下のコードを実行すると発生します。私は、姓、姓、ユーザー名、パスワードなどの詳細を含むユーザー登録ページを実行しています。 "ID"は私の主キーです。エラー： "System.Data.dllで 'System.ArgumentException'型の例外が発生しましたが、ユーザーコードで処理されませんでした 追加情報：初期化文字列の形式がインデックス0で始まる仕様に準拠していません。

using System; 
using System.Collections.Generic; 
using System.Linq; 
using System.Web; 
using System.Web.UI; 
using System.Web.UI.WebControls; 
using System.Configuration; 
using System.Data.SqlClient; 
using System.Data; 


namespace WebApplication_Assignment 
{ 
    public partial class User_Registration_WebForm : System.Web.UI.Page 
    { 
     protected void Page_Load(object sender, EventArgs e) 
     { 

     } 

     protected void Button_SubmitUserReg_Click(object sender, EventArgs e) 
     { 
      //Response.Write("Your registration is successful"); 

      string sql = "SELECT * from User_Table where User_Name = @username"; 

      using (SqlConnection connection = new SqlConnection("ConnectionString")) 
      using (SqlCommand command = new SqlCommand(sql, connection)) 
{ 
    var userParam = new SqlParameter("username", SqlDbType.VarChar); 
    userParam.Value = TextBox_UserName.Text; 

    command.Parameters.Add(userParam); 

    var results = command.ExecuteReader(); 
} 

Answer 1

あなたはパラメータを使用していないので、あなたはほぼ確実「O'Sullivan」という単一引用符を参照してくださいある姓（姓）を持っています。 TSQLステートメントが不適切に形成されています。

文字列を連結すると、このような問題が発生し、SQLインジェクション攻撃が発生します。常にパラメーターを使用してください。 SO上のSQLインジェクション攻撃に多数の参考文献があります

string sql = "SELECT * from employee where username = @username"; 

using (SqlConnection connection = new SqlConnection("connection string") 
using (SqlCommand command = new SqlCommand(sql, connection)) 
{ 
    var userParam = new SqlParameter("username", SqlDbType.VarChar); 
    userParam.Value = txtUsername.Text; 

    command.Parameters.Add(userParam); 

    var results = command.ExecuteReader(); 
} 

：ここ

は簡単な例です。ここに1つの例があります：

Why do we always prefer using parameters in SQL statements?