mysql - ExecuteNonQuery 时出错

Question

我不是一个很好的程序员，但我认为代码是正确的。任何人都可以检查它是否有错误，因为我总是在 executenonquery 行出错。

错误是:

{"Incorrect syntax near '9'." & vbCrLf & "Unclosed quotation mark after the character string ',@memberpic)'."}

and/or

An unhandled exception of type 'System.Data.SqlClient.SqlException' occurred in System.Data.dll

Additional information: Incorrect syntax near '9'.

Private Sub btnSave_Click(sender As Object, e As EventArgs) Handles btnSave.Click
    cn.Open()
    Using cmd As New SqlClient.SqlCommand("INSERT INTO tblMembers(name, contactno, address, birthday, baptism, ministry, memberpic)VALUES('" & txtName.Text & "','" & txtContactNo.Text & "','" & txtAddress.Text & "',''" & dtpBirthday.Text & "','" & dtpBaptism.Text & "','" & txtMinistry.Text & "',@memberpic)", cn)
        cmd.Parameters.Add(New SqlClient.SqlParameter("@memberpic", SqlDbType.Image)).Value = IO.File.ReadAllBytes(a.FileName)
        i = cmd.ExecuteNonQuery
    End Using
    If (i > 0) Then
        MsgBox("Save " & i & " record successfully")
        Clear()
    End If
    cn.Close()
    ShowRecord()
End Sub

Answer 1

其中一个 TextBox 元素中的一个字符串可能包含单引号 '。

我的建议是，为您自己省去一些痛苦并参数化 SQL 语句中的所有值。出于多种原因，这是一个很好的编程实践，但它也将解决您对转义可能来自 TextBox 的字符串的迫切需求。

首先，您将 SQL 语句标记化。

...
VALUES(@name,@contactno,@address,@birthday,@baptism,@ministry,@memberpic)

然后，你设置你的参数

... 
cmd.Parameters.Add(New SqlClient.SqlParameter("@name", SqlDbType.Varchar)).Value = txtName.Text