Никогда не собирайте запросы конкатенацией со строковыми переменными! Если еще не знаете что такое sql-инъекция, то просто подставьте в качестве значения item
, ну например такую строку "''; go; drop table items; go;"
. Что-то мне подсказывает, что в реальном коде значение item
будет приходить извне. Ну и опечатки с экранированием текста опять же.
Вместо этого лучше использовать параметризованный запрос:
myConnection3.Open();
string item = "redit";
int items_id = 3;
string query3 = string.Format("UPDATE items SET i_status = @item WHERE items.id = @itemId");
SqlCommand command3 = new SqlCommand(query3, myConnection3);
command3.Parameters.Add("@item", SqlDbType.NVarChar, -1) = item;
command3.Parameters.Add("@itemId", SqlDbType.Int).Value = items_id;
command3.ExecuteNonQuery();
Таким способом будет сгенерирован корректный запрос и ни каких вопросов с кавычками, экранированием и инъекциями. Тут подробно и с примерами: Свойство SqlCommand.Parameters
ExecuteReader()
может сработать, т.к. запрос не обязан возвращать хоть что-то, но если запрос заведомо не возвращает данные, а, например, только пишет в БД, то, для лучшей читаемости, стоит использовать ExecuteNonQuery()
, который просто выполняет запрос и не ждет получения каких либо данных от сервера.
Что касается "Остальные запросы ( Insert ) работают и так", то вы ошибаетесь, кавычки '<значение>'
обязательны для текстовых литералов в MS SQL (T-SQL). Возможно в других запросах значения приходят уже экранированными или где-то "глушатся" исключения, но в любом случае запрос с синтаксической ошибкой не может быть выполнен.
command3.ExecuteNonQuery();