如何将 C# 值插入到 MySql？

Question

我想将 C# winform 值插入到 Mysql

有 3 列

name,id 是 TextBox 文本，gender 是 ComboBox 值

但是有错误和错误消息说： MySql.Data.MySqlClient.MySqlException: '你的 SQL 语法有错误; 检查与您的 MySQL 服务器版本相对应的手册，以了解在第 1 行的 '',')' 附近使用的正确语法

我应该修复什么代码？

using (MySqlConnection conn2 = new MySqlConnection(strconn))
        { 
            conn2.Open();
            string query = "INSERT INTO student1(name,id,gender) values ('" + name3.Text + "'," + id3.Text + "'," + gender3.SelectedValue+"');";
            MySqlCommand cmd = new MySqlCommand(query, conn2);
            cmd.ExecuteNonQuery();
        }

Answer 1

你缺少的连接字符串字面一个单引号name3.Text和id3.Text又一次之间id3.Text和gender3.SelectedValue

但应该没关系。如果您像这样连接用户提供的字符串，那么您的系统被破坏只是时间问题。有一种更好的方法可以避免这种风险，使 SQL 语句更容易正确并运行得更快。

//This could be marked const!
string query = "INSERT INTO student1(name,id,gender) values (@name, @id, @gender);";

using (var conn2 = new MySqlConnection(strconn))
using (var cmd = new MySqlCommand(query, conn2))
{ 
    //I have to guess, but you can find exact column types/lengths from your db
    //Do not use AddWithValue()!
    // MySql is less at risk for the AddWithValue() performance issues
    // than Sql Server but the risk isn't completely eliminated.
    cmd.Parameters.Add("@name", MySqlDbType.VarChar, 30).Value = name3.Text;
    cmd.Parameters.Add("@id", MySqlDbType.VarChar, 50).Value = id3.Text; 
    cmd.Parameters.Add("@gender", MySqlDbType.VarChar, 5).Value = gender3.SelectedValue;

    conn2.Open();
    cmd.ExecuteNonQuery();
}