11

私は C# と SQL の初心者です。実行したい SQL 挿入ステートメントがあります。挿入したい他の変数の中でテーブル名を尋ねます。

しかし、このコンソールアプリを実行すると、次のエラーが発生します:

テーブル変数 @table を宣言する必要があります

これはコードの一部です:

StreamReader my_reader =  getFile(args);
string CS = formCS();
try
{
    using (SqlConnection con = new SqlConnection(CS))
    {
        SqlCommand com = new SqlCommand("insert into @table (time, date, pin) values (@time, @date, @pin)", con);                    
        con.Open();
        Console.WriteLine("Enter table name:");
        Console.Write(">> ");
        string tblname = Console.ReadLine();
        com.Parameters.AddWithValue("@table", tblname);

        string line = "";
        int count = 0;
        while ((line = my_reader.ReadLine()) != null)
        {
            Dictionary<string, string> result = extractData(line);                        
            com.Parameters.AddWithValue("@time", result["regTime"]);
            com.Parameters.AddWithValue("@date", result["regDate"]);
            com.Parameters.AddWithValue("@pin", result["regPin"]);
            count += com.ExecuteNonQuery();
            com.Parameters.Clear();                        

        }
        Console.WriteLine("Recoreds added : {0}", count.ToString());
        Console.WriteLine("Press Enter to exit.");
    }
    Console.ReadLine();
}
catch (SqlException ex)
{
    Console.WriteLine(ex.Message);
}
catch (Exception ex)
{
    Console.WriteLine(ex.Message);                
}
4

3 に答える 3

17

あなたはこれを行うことはできません。次のように、テーブル名をパラメータとして渡すことはできません。

SqlCommand com = new SqlCommand("insert into @table ...");
...
com.Parameters.AddWithValue("@table", tblname);

代わりにこれを行うことができます：

Console.WriteLine("Enter table name:");
Console.Write(">> ");
string tblname = Console.ReadLine();

string sql = String.Format("insert into {0} (time, date, pin) values ... ", tblname);

SqlCommand com = new SqlCommand(sql, con);                    

...
于 2012-12-22T13:37:05.700 に答える
5

テーブル名を SQL クエリの入力パラメーターにすることはできません。ただし、次のように、いつでも「SQL文字列をSqlCommandに渡す前に準備することができます。

var sqlString = string.Format("insert into {0} (time, date, pin) values (@time, @date, @pin)", tblname)

その後

SqlCommand com = new SqlCommand(sqlString);
...
于 2012-12-22T13:44:20.373 に答える
0

これにより、このような SQL インジェクション攻撃が可能になる可能性があることに注意してください...

string tblname = "; DROP TABLE users;";
var sqlString = string.Format("insert into {0} (time, date, pin) values (@time, @date, @pin)", tblname)

https://en.wikipedia.org/wiki/SQL_injection

于 2016-06-06T10:00:42.307 に答える