問題タブ [sql-parametrized-query]

複数の入力パラメーターに CDbCriteira addInCondition() を使用したい (数値は事前定義されていません)。このメソッドはパラメータ化されたクエリを構成しますか? 私はこれについて物議を醸す考えを見つけました：

1. はい -「CDbCriteriaを使用しているため、安全であると思います」-引用。
2. 番号

また、 addInCondition() メソッドの仕様を調べましたが、明確にできませんでした。

私のプログラムには、runSQLというタイトルの関数があります。これは次のとおりです。

そして、このコードから取得した更新文字列を使用して、データベース内のレコードを更新しようとしています:

ただし、保存ボタンをクリックすると、runSQL 関数の 7 行目 (空の行を含まないため、DataAdapter.Fill(DT) 行) で「1 つ以上の必須パラメーターに値が指定されていません」というエラーが表示されます。

これがなぜなのか、それを修正する方法を誰かが知っているのだろうかと思いました。

私が考えたことの 1 つは、更新されているテーブルには、UPDATE ステートメントで言及されているフィールド以外のフィールドがあるということです。たとえば、「TeamMember」というタイトルの Yes/no フィールドがありますが、これについては update ステートメントでは言及していません。更新機能を使用する場合、変更されていないものも含め、すべてのフィールドに値を指定する必要がありますか?

読んでくれてありがとう。

vb.net でクエリをデバッグするのに問題があります。内部に値を含む完全なクエリを取得したいだけです。パラメータを使用してクエリに値を追加します。これは私のコードです:

このコードでは、次のような結果が得られます。

このような結果を得る方法：

以前にそれを行ったことがありますが、この場合insert into table、ターゲット テーブルの列の値が別のクエリの結果として得られるクエリがあります。それを持っていると、私parametarized queryのが正しい方法でフォーマットされているかどうかわかりません。

Sql Injection修正前の元のクエリは次のとおりです。

これは、修正を試みた後のクエリですSql Injection。

ここにパラメータを追加します。

.....

....私CommandTextのが正しい方法でフォーマットされているかどうか疑問に思っています。

ありがとう

私はすでにいくつかの回答を見てきましたが、私のクエリは少し異なります:

元のクエリは次のとおりです。

SQL インジェクションの変更されたクエリを次に示します。

お気づきのように、最初のクエリはUserId二重引用符で囲まれています:..." + UserID +"...そして Number私たちは一重引用符と二重引用符で囲まれています:...'" + Number + "'...

パラメータを設定する方法は次のとおりです。

はUserID整数でNumber、文字列です。

それで、私の質問は、変更されたクエリが正しい方法でフォーマットされているかどうかです。@UserId元のクエリで指定されているさまざまな方法を考慮して、@Numberパラメータをクエリに入れる方法に違いはありますか?

メソッドにはいくつかのクエリがあります。条件に応じて、特定のクエリが実行されます。各クエリは同じパラメーターを使用します。

例えば：

}

@id私の質問は、別のクエリを実行する必要があるたびにパラメーターを追加し続けるとエラーが発生するか、クエリの実行後にパラメーターが削除されるかということです。

コード内の SQL インジェクションを修正しています。メソッドの 1 つは、ストアド プロシージャを実行し、SQL インジェクション ルールに違反するパラメーターを追加します。

今、私はパラメータを追加しています:

これは私の最後のクエリです：

私の質問は...@repNumber=@repNumber...、ストアド プロシージャに含めても問題ないのか、それとも名前付けのあいまいさが生じるのかということです。