c# - 将文本框值插入数据库

Question

我是这里的新手，想得到一些关于 C# 编程的建议

我想将文本框中的值存储到数据库中。到目前为止，我有以下内容:

string connectionString = @"Data Source=.\SQLEXPRESS;AttachDbFilename=|DataDirectory|\Customers.mdf;Integrated Security=True;User Instance=True";
SqlConnection connection = new SqlConnection(connectionString);
connection.Open();

string query = "INSERT INTO ProjectList (ProjectName, BiddingDueDate, Status, ProjectStartDate, ProjectEndDate, AssignedTo, PointsWorth, StaffCredits) VALUES ('"+projName+"', '"+bidDueDate+"', '"+status+"', '"+projectStartDate+"', '"+projectEndDate+"', '"+assignedTo+"', '"+pointsWorth+"', '"+aStaffCredits+"')";
SqlCommand command = new SqlCommand(query, connection);

command.ExecuteNonQuery();
connection.Close();

代码中没有错误，但我似乎无法弄清楚为什么数据库中没有存储任何内容。

Answer 1

首先，您的代码对于 SQL Injection attacks 已经成熟- 你真的应该使用参数化查询。

此外，如果您使用参数，您可以获得一些类型安全性，并且这些值将被正确地转换为 SQL Server。

很难说这里出了什么问题，因为我们不知道您连接的值(例如，bidDueDate 是什么样的？thisQuery 是什么> 在你执行它之前看起来像？)。

我通常会把它写成一个存储过程，获取插入记录所需的参数，在我的 C# 中，我会创建命令对象并向其添加正确的参数(和类型)。

请参阅 this 上的示例MSDN 页面(SqlCommand.Parameters)。