asp.net - SQLステートメント「無効な列名」：クエリを作成する方法は？

Question

    string ID = "";
        if (Session["sID"] != null)
        {
            ID = Session["sID"].ToString();
            con.Open();

            string surveysr = "Select ShowResult from Survey where SurveyID=" + ID ;
            SqlCommand cmd2 = new SqlCommand(surveysr, con);
            SqlDataReader dr = cmd2.ExecuteReader();
           .............

与えられたエラーは「無効な列名'S29'」でした。問題は、IDが一重引用符なしのS29だけであるということでした。ただし、SQLキャッチが''である場合。何か案が？？

Answer 1

文字列の連結を使用して、そのようなSQLクエリに値を代入することは絶対にしないでください。あなたはこれを求めている：

string ID = "";
if (Session["sID"] != null)
{
    ID = Session["sID"].ToString();
    con.Open();

    string surveysr = "Select ShowResult from Survey where SurveyID= @ID";
    SqlCommand cmd2 = new SqlCommand(surveysr, con);
    cmd2.Parameters.Add("@ID", SqlDbType.VarChar, 3).Value = ID;
    SqlDataReader dr = cmd2.ExecuteReader(); 

古いコードで、名前の付いたIDを作成できた場合はどうなります;DROP Table Survey;--か？

Answer 2

多分これはあなたを助けることができます：

string ID = "";
    if (Session["sID"] != null)
    {
        ID = CStr(Session["sID"]).ToString();
        con.Open();

        string surveysr = "Select ShowResult from Survey where SurveyID=" + ID ;
        SqlCommand cmd2 = new SqlCommand(surveysr, con);
        SqlDataReader dr = cmd2.ExecuteReader();
       .............

Answer 3

試す：

string surveysr = "Select ShowResult from Survey where SurveyID='" + ID + "'" ;