0

プロセスを簡単にするためにstringbuilderを使用しようとしましたが、エラーが表示され、問題がstringbuilderにあるのかコード構文にあるのかわかりません。

コード：

        if (dataGridView4.RowCount == 0)
        {
            MessageBox.Show("Attendance form is empty");
        }
        else
        {
            //string att;
            int a = dataGridView4.RowCount;
            string[] s = new string[a];
            for (int i = 0; i < a; i++)
            {
                if (dataGridView4.Rows[i].Cells[1].Selected)
                {
                    s[i] = "Present";
                }
                else
                {
                    s[i] = "Absent";
                }
            }
            string[] s1 = new string[a];
            for (int i = 0; i < a; i++)
            {
                s1[i] = dataGridView4.Rows[i].Cells[0].Value.ToString();
            }
            string date = dateTimePicker1.Value.ToString("dd-MM-yyyy");
            StringBuilder command = new StringBuilder();
            for (int i = 0; i < a; i++)
            {
                command.Append("INSERT into Attendance (att_date, emp_code, is_present) values ('" + date + "','" + s1[i] + "','" + s[i] + "')");
            }
            SqlCeConnection conn = new SqlCeConnection(@"Data Source=C:\Users\admin\documents\visual studio 2010\Projects\WindowsFormsApplication1\WindowsFormsApplication1\hotel.sdf");
            conn.Open();
            SqlCeCommand cmd = new SqlCeCommand(command.ToString(),conn);
            cmd.ExecuteNonQuery();
            MessageBox.Show("Attendance Added");

このエラーを解決するのを手伝ってください。また、上記のコードをより簡単にするための提案があれば教えてください。

前もって感謝します！

4

1 に答える 1

0

パラメータを使用してSQLインジェクション攻撃を回避する必要があり、日時パラメータに対して行ったように文字列に変換する必要もありません..

using (SqlCeConnection con = new SqlCeConnection(strConn))
{
    con.Open();
    using (SqlCeCommand cmd = new SqlCeCommand("insert into Attendance (att_date, emp_code, is_present) values (@att_date, @emp_code, @is_present)", con))
    {
        cmd.Parameters.AddWithValue("@att_date", dateTimePicker1.Value);
        cmd.Parameters.AddWithValue("@emp_code", emp_codeVal); //s1[i]
        cmd.Parameters.AddWithValue("@is_present", is_presentVal); //s[i]
        cmd.CommandType = System.Data.CommandType.Text;
        cmd.ExecuteNonQuery();
    }
}

挿入するレコードが多数ある場合はSqlCeResultSet、 を使用してみてください。そのリンクにある MSDN のサンプル コードを確認できます。

グリッド行ごとに、次のことができます

// this is only a sample you need to write for your table 
SqlCeUpdatableRecord rec = rs.CreateRecord();

rec.SetInt32(0, 34);
rec.SetDecimal(1, (decimal)44.66);
rec.SetString(2, "Sample text");

rs.Insert(rec);
于 2013-04-18T03:23:37.510 に答える