c# - 通过接受来自文本框的值来重命名字段名称...它显示 "Unclosed quotation mark after the character string ' '

Question

我正在使用文本框，textbox1 接受现有字段的值，textbox2 接受新字段名称。当我单击该按钮时，我在 d/b 的 textbox1 中输入的相应字段名称应该更改为在 textbox2 中输入。

protected void Button1_Click(object sender, EventArgs e) { //str = "sp_RENAME 'book.author','Au_Name','COLUMN'";

    str = "sp_RENAME 'book.'" + TextBox1.Text + "','" + TextBox2.Text + "','COLUMN'";
    SqlConnection con = new SqlConnection("Data Source=.;Initial Catalog= Library;Integrated Security=true");
    con.Open();
    SqlCommand cmd = new SqlCommand(str, con);
    SqlDataReader dr = cmd.ExecuteReader();

    //("SELECT * FROM IMSLogin WHERE Uname = '" + Uname + "' AND PWD= '" + pwd + "'", con)

非常感谢，

提前致谢!

Answer 1

第一个也是最明显的问题是用户输入直接发送到数据库。

第二个问题可能会解决您的问题，它是 sp_rename 'book. 的单引号。

来自评论:替换

str = "sp_RENAME 'book.'" + TextBox1.Text

与

str = "sp_RENAME 'book." + TextBox1.Text 

(可能还有关于 TextBox1.Text 内容的 add some checks)