Member 12472085 Ответов: 2

C# выберите значение из текстового поля и умножьте

Как 
Select pre_kod,ing_pav, pre_ska*100/1000, san_kod from v_gaminiai where gam_kod='40010100'


в C# ?



Pre_ska * TextBox / 1000

Что я уже пробовал:

OdbcDataAdapter sdf = new OdbcDataAdapter("Select pre_kod,ing_pav, pre_ska(* " + Convert.ToDouble(GAM_SKA.Text) + " /1000), san_kod from v_gaminiai where gam_kod='" + txt_pre_kod.Text.ToString() + "'", conn);

2 Ответов

Рейтинг:
2

OriginalGriff

Сдвиньте скобку, и не делайте этого так! Никогда не объединяйте строки для построения SQL-команды. Это оставляет вас широко открытыми для случайной или преднамеренной атаки SQL-инъекции, которая может уничтожить всю вашу базу данных. Вместо этого используйте параметризованные запросы.

Когда вы объединяете строки, вы вызываете проблемы, потому что SQL получает такие команды, как:

SELECT * FROM MyTable WHERE StreetAddress = 'Baker's Wood'
Цитата, добавленная пользователем, завершает строку с точки зрения SQL, и вы получаете проблемы. Но могло быть и хуже. Если я приду и наберу вместо этого: "x'; DROP TABLE MyTable;--", то SQL получит совсем другую команду:
SELECT * FROM MyTable WHERE StreetAddress = 'x';DROP TABLE MyTable;--'
Которые SQL видит как три отдельные команды:
SELECT * FROM MyTable WHERE StreetAddress = 'x';
Совершенно правильный выбор
DROP TABLE MyTable;
Вполне допустимая команда "удалить таблицу" 
--'
А все остальное-это комментарии.
Так оно и происходит: выбирает любые совпадающие строки, удаляет таблицу из базы данных и игнорирует все остальное.

Поэтому всегда используйте параметризованные запросы! Или будьте готовы часто восстанавливать свою БД из резервной копии. Вы ведь регулярно делаете резервные копии, не так ли?

В нынешнем виде ваш запрос-это плохой SQL. Если вы вручную развернете его, используя "100" и "привет" в качестве входных данных, SQL будет представлен такой строкой:
Select pre_kod,ing_pav, pre_ska(* 100.0 /1000), san_kod from v_gaminiai where gam_kod='Hello'
Это неправильно: Sql должен предполагать pre_ska это функция, и она пытается выяснить, что это за чертов параметр! Это невозможно, и вы получаете ошибку для функции и / или параметра.
Сравните с этим:
SELECT pre_kod,ing_pav, pre_ska * (100.0 / 1000.0), san_kod FROM v_gaminiai WHERE gam_kod='Hello'
и это гораздо понятнее-но используйте двойной.Метод tryparse, чтобы преобразовать значение текстового поля (проблемы представления пользователю), а не конвертировать.ToDouble и используйте параметризованные запросы для передачи обоих значений.

Рейтинг:
0

Member 12472085

Работайте над этим:

"Select gam_kod,pap_kod, pap_ska=(pap_ska * " + Convert.ToDouble(GAM_SKA.Text) + " /1000), pap_sum=(pap_sum * " + Convert.ToDouble(GAM_SKA.Text) + " /1000) from gaminys1p where gam_kod='" + txt_pre_kod.Text.ToString() + "'", conn);