System.Data.SqlClient.SqlException： '構文が正しくありません'） '。'

Question

私は、コード内のエラーを見つけることができませんが、それは私に

System.Data.SqlClient.SqlException示す：エラーが何の近くに不適切な構文 '）

SqlCommand myCommand = new SqlCommand(" insert into" + 
    " INTERVALDATA4(SerialNumber, TimeStamp, MeterData,) " + 
    "values(" + meterReading.SerialNumber + ", '" + reading.TimeStamp.ToString() 
    + "'," + reading.RawReading +");", myConnection); 
myCommand.ExecuteNonQuery(); 

をし、それを修正する方法は私の上の任意の助けてくださいできますか？ ありがとう

Answer 1

INTERVALDATA4(SerialNumber, TimeStamp, MeterData,)をINTERVALDATA4(SerialNumber, TimeStamp, MeterData)に置き換えると、余分なカンマがあるためです。私は'で囲まれた余分な引数を見ることができますが、それらのうちのいくつかはまだありません。まだこの問題がある場合は、'ですべてを囲んでみてください。

とにかく私はこの方法でSQLインジェクションを開いているので、SqlParameterを使用してパラメータを渡すことを検討します。簡単にタイプミスを発見し、SQLインジェクションを防ぐため、このようなあなたのクエリをパラメータ化を検討する

Answer 2

：

string myQuery = "INSERT INTO INTERVALDATA4(SerialNumber, TimeStamp, MeterData) VALUES (@serialNumber, @timeStamp, @rawReading)"; 
SqlCommand myCommand = new SqlCommand(myQuery, myConnection); 
myCommand.Parameters.Add("@serialNumber", meterReading.SerialNumber); 
myCommand.Parameters.Add("@timeStamp", reading.TimeStamp.ToString()); 
myCommand.Parameters.Add("@rawReading", reading.RawReading); 

myCommand.ExecuteNonQuery();