mysql - Request.form 返回带逗号的值

Question

当我运行此代码时:

string MySQL = "Select * From RegisterDatabase Where uName  = '" + Request.Form["username"] +"'";

它对我不起作用，所以我试图看看问题出在哪里，结果发现 MySQL 中有一个逗号。

Select * From RegisterDatabase Where uName  = 'Test,'

如何解决这个问题？

Answer 1

您的代码容易出现SQL Injection attack 。

您想要像这样参数化查询 -

string query = "Select * From RegisterDatabase Where uName = @username";

// Remove "," from username
string username = Request.Form["username"].ToString().Replace(",", "");

MySqlCommand command = new MySqlCommand(query);
command.Parameters.AddWithValue("@username", username);

或者有些使用?username而不是@username。