如何解决从字符串转换日期和/或时间时转换失败;使用 SQLCommand.CommandText 和 SQLCommand.Parameters.AddWithValue
我正在尝试将数据插入到我的 SQL Server 2014 数据库中。我使用 @parameters
编写 SQL 查询并使用 SqlCommand.Parameters.AddWithValue
解析值,而无需担心 SQL 注入。
问题是,当我启动程序时,出现此异常:
从字符串转换日期和/或时间时转换失败
using (SqlCommand insertCall = new SqlCommand())
{
insertCall.Connection = connection;
insertCall.CommandType = CommandType.Text;
insertCall.CommandText = "INSERT into CallingHistory (historyid,callid,duration," +
"[time-start],[time-answered],[time-end],[reason-terminated],[from-no],[to-no],[from-dn],[to-dn],[dial-no]," +
"[reason-changed],[final-number],[final-dn],[bill-code],[bill-rate],[bill-cost],[bill-name],chain,[from-type]," +
"[to-type],[final-type],[from-displayname],[to-dispname],[final-dispname],[missed-queue]) " +
"VALUES('@historyid','@callid','@duration','@timestart','@timeanswered','@timeend','@reasonterminated','@fromno','@tono','@fromdn','@todn'," +
"'@dialno','@reasonchanged','@finalnumber','@finaldn','@billcode','@billrate',@billcost,'@billname','@chain','@fromtype','@totype','@finaltype'," +
"'@fromdisplayname','@todispname','@finaldispname','@missedqueue')";
string billcost = (values[17] == "" ? "0" : values[17]);
string timeanswered = (values[4] == "" ? DBNull.Value.ToString() : values[4]);
string duration = (values[2] == "" ? DBNull.Value.ToString() : values[2]);
insertCall.Parameters.AddWithValue("@historyid",values[0]);
insertCall.Parameters.AddWithValue("@callid",values[1]);
insertCall.Parameters.AddWithValue("@duration",duration);
insertCall.Parameters.AddWithValue("@timestart",values[3]);
insertCall.Parameters.AddWithValue("@timeanswered",timeanswered);
insertCall.Parameters.AddWithValue("@timeend",values[5]);
insertCall.Parameters.AddWithValue("@reasonterminated",values[6]);
insertCall.Parameters.AddWithValue("@fromno",values[7]);
insertCall.Parameters.AddWithValue("@tono",values[8]);
insertCall.Parameters.AddWithValue("@fromdn",values[9]);
insertCall.Parameters.AddWithValue("@todn",values[10]);
insertCall.Parameters.AddWithValue("@dialno",values[11]);
insertCall.Parameters.AddWithValue("@reasonchanged",values[12]);
insertCall.Parameters.AddWithValue("@finalnumber",values[13]);
insertCall.Parameters.AddWithValue("@finaldn",values[14]);
insertCall.Parameters.AddWithValue("@billcode",values[15]);
insertCall.Parameters.AddWithValue("@billrate",values[16]);
insertCall.Parameters.AddWithValue("@billcost",billcost);
insertCall.Parameters.AddWithValue("@billname",values[18]);
insertCall.Parameters.AddWithValue("@chain",values[19]);
insertCall.Parameters.AddWithValue("@fromtype",values[20]);
insertCall.Parameters.AddWithValue("@totype",values[21]);
insertCall.Parameters.AddWithValue("@finaltype",values[22]);
insertCall.Parameters.AddWithValue("@fromdisplayname",values[23]);
insertCall.Parameters.AddWithValue("@todispname",values[24]);
insertCall.Parameters.AddWithValue("@finaldispname",values[25]);
insertCall.Parameters.AddWithValue("@missedqueue",values[26]);
string sqlquery=insertCall.CommandText;
foreach (SqlParameter item in insertCall.Parameters)
{
sqlquery= sqlquery.Replace(item.ParameterName,item.Value.ToString());
}
try
{
insertCall.ExecuteNonQuery();
}
catch (SqlException)
{
Console.WriteLine("Error inserting into the database");
}
}
我尝试将 SQL 查询硬编码到 SqlCommand.CommandText
(insertCall.CommandText) 中。
我是这样写的:
string sqlquery = insertCall.CommandText;
foreach (SqlParameter item in insertCall.Parameters)
{
sqlquery = sqlquery.Replace(item.ParameterName,item.Value.ToString());
}
insertCall.CommandText = sqlquery;
try
{
insertCall.ExecuteNonQuery();
}
catch (SqlException)
{
Console.WriteLine("Error inserting into the database");
}
insertCall.CommandText = sqlquery;
这是一个例子,insertCall.CommandText 中有什么
INSERT into CallingHistory (historyid,[time-start],[reason-changed],[to-type],[missed-queue])
VALUES('Call 29273','00000C0F29FCCCBC_82','','2021.03.03 18:07:56','2021.03.03 18:07:58','Failed','Ext.54','012345678','54','Extension','LineSet','M Ulus','\r\n')
当它在 insertCall.CommandText
中时,查询成功,程序成功将数据插入数据库。
我也试过用 DateTime.Parse
进行转换,但还是不行。
insertCall.Parameters.AddWithValue("@duration",DateTime.Parse(duration).TimeOfDay);
insertCall.Parameters.AddWithValue("@timestart",DateTime.Parse(values[3]));
insertCall.Parameters.AddWithValue("@timeanswered",DateTime.Parse(timeanswered));
insertCall.Parameters.AddWithValue("@timeend",DateTime.Parse(values[5]));
我尝试了我能想到的一切。
你们有什么想法吗,问题是什么或解决方法是什么。我真的希望它能够防止 SQL 注入。
另一方面,我听说错误可能是因为 SQL Server 2014。我们需要更新它。明天我会在 SQL Server 2019 上试用一下。
Here are the columns of the table I'm trying to insert
版权声明:本文内容由互联网用户自发贡献,该文观点与技术仅代表作者本人。本站仅提供信息存储空间服务,不拥有所有权,不承担相关法律责任。如发现本站有涉嫌侵权/违法违规的内容, 请发送邮件至 dio@foxmail.com 举报,一经查实,本站将立刻删除。