0

Проблема в том что не работает SQL запрос UPDATE. Вот сама таблица.

Вот запрос:

myConnection3.Open();

string item = "redit";
int items_id = 3;

string query3 = string.Format("UPDATE items SET i_status = " + item + " WHERE items.id = "+items_id);

SqlCommand command3 = new SqlCommand(query3, myConnection3);

SqlDataReader reader3 = command3.ExecuteReader();
5
  • 2
    В языке SQL строки в запросе должны быть заключены в кавычки
    – Mike
    14 мар 2019 в 21:32
  • И экранировать тоже полезно.
    – A K
    14 мар 2019 в 21:33
  • Остальные запросы ( Insert ) работают и так. Хотя я пробовал заключать в кавычки, не помогло. 14 мар 2019 в 21:33
  • "Остальные запросы ( Insert ) работают и так." - не работают, Вы чего-то не замечаете.
    – user176262
    14 мар 2019 в 21:34
  • 2
    command3.ExecuteNonQuery();
    – user176262
    14 мар 2019 в 21:35

1 ответ 1

3

Никогда не собирайте запросы конкатенацией со строковыми переменными! Если еще не знаете что такое sql-инъекция, то просто подставьте в качестве значения item, ну например такую строку "''; go; drop table items; go;". Что-то мне подсказывает, что в реальном коде значение item будет приходить извне. Ну и опечатки с экранированием текста опять же.

Вместо этого лучше использовать параметризованный запрос:

myConnection3.Open();

string item = "redit";
int items_id = 3;

string query3 = string.Format("UPDATE items SET i_status = @item WHERE items.id = @itemId");

SqlCommand command3 = new SqlCommand(query3, myConnection3);
command3.Parameters.Add("@item", SqlDbType.NVarChar, -1) = item;
command3.Parameters.Add("@itemId", SqlDbType.Int).Value = items_id;

command3.ExecuteNonQuery();

Таким способом будет сгенерирован корректный запрос и ни каких вопросов с кавычками, экранированием и инъекциями. Тут подробно и с примерами: Свойство SqlCommand.Parameters

ExecuteReader() может сработать, т.к. запрос не обязан возвращать хоть что-то, но если запрос заведомо не возвращает данные, а, например, только пишет в БД, то, для лучшей читаемости, стоит использовать ExecuteNonQuery(), который просто выполняет запрос и не ждет получения каких либо данных от сервера.

Что касается "Остальные запросы ( Insert ) работают и так", то вы ошибаетесь, кавычки '<значение>' обязательны для текстовых литералов в MS SQL (T-SQL). Возможно в других запросах значения приходят уже экранированными или где-то "глушатся" исключения, но в любом случае запрос с синтаксической ошибкой не может быть выполнен.

1
  • Если еще не знаете, что такое sql иньекции, то скоро узнаете (.
    – user176262
    15 мар 2019 в 1:03

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge that you have read and understand our privacy policy and code of conduct.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.