c# - 奥达克 ORA-00911 : invalid character

Question

我正在编写连接到 ODAC 的 C# 代码。我认为我的查询没有错误，但我收到此错误，我不知道如何解决。

这是我的查询

comm.CommandText = "SELECT * FROM ZAEDBA WHERE USER_ID = '" + login_id + 
                   "' AND APPID = '" + app_id + "' ;"; 

谁能找出这里出了什么问题？

Answer 1

您的查询容易受到名为 SQL injection 的安全问题的攻击!

您永远不应该使用字符串连接来从字符串(一些 SQL、一些参数)构建查询...始终使用参数化查询...

示例代码:

comm.BindByName = true;
comm.CommandText = "SELECT * FROM ZAEDBA WHERE USER_ID = :login_id AND APPID = :app_id";
comm.Parameters.AddWithValue ("login_id", login_id);
comm.Parameters.AddWithValue ("app_id", app_id);