Ungültiger Spaltenname während Spalte dort ist

Question

Ich versuche, ein Login-Fenster mit MDI zu erstellen. Es ist mit einer SQL Server-Tabelle test verbunden. Ich habe die Datentypen geändert und die Datenbank gelöscht und neu erstellt. Ich habe 2 Spalten: usr und pwd des Datentyps nvarchar.

Dim connetionString As String 
Dim cnn As SqlConnection 

connetionString = "Data Source=.;Initial Catalog=test;User ID=sa;Password=sasql" 
cnn = New SqlConnection(connetionString) 

Dim cmd As SqlCommand 
Dim myreader As SqlDataReader 
Dim query As String 

query = "Select usr From users WHERE (usr =" + TextBox1.Text + " and pwd = " + TextBox2.Text + ")" 
cmd = New SqlCommand(query, cnn) 

cnn.Open() 
myreader = cmd.ExecuteReader() 

If myreader.Read() Then 
Else 
    MessageBox.Show("Incorrect username/password !", "LOGIN ERROR", MessageBoxButtons.OK, MessageBoxIcon.Exclamation) 
End If 

cnn.Close() 

Vielen Dank.

Answer 1

Wenn Sie Tortuga.Chain verwenden, würde der Code wie folgt aussehen:

Dim ds As New SqlServerDataSource(connetionString) 

Dim user = ds.From("users", new With {.usr = TextBox1.Text, .pwd = TextBox2.Text}).ToString.Execute(); 

If user Is Not Nothing Then 
Else 
    MessageBox.Show("Incorrect username/password !", "LOGIN ERROR", MessageBoxButtons.OK, MessageBoxIcon.Exclamation) 
End If 

---

Wenn Sie rohe ADO.NET Code halten wollen, müssen Sie eine parametrisierte Abfrage verwenden.

Answer 2

Entfernen Sie die Leerzeichen vom Wert connectionString.

Ihre Abfrage vergleicht Textdaten, die ungültig sind, es sei denn, der Benutzer gibt ' am Anfang und Ende der Textfelder ein. Dies wäre syntaktisch korrekt:

"Select usr From users WHERE (usr ='" + TextBox1.Text + "' and pwd = '" + TextBox2.Text + "')" 

aber logisch fehlerhaft, da der Benutzer bösartigen SQL in Ihre Textfelder zu injizieren könnte versuchen. Ihre Anwendung ist äußerst unsicher. Sie müssen protect it against SQL injection und Sie müssen encrypt the password des Benutzers auch.