ASP.NET WebForms更换SqlClient后ExecuteNonQuery报语法错误求助

错误原因 #

你的SQL语句拼接逻辑存在问题：

• 如果TextBox1.Text为空，生成的SQL会变成INSERT INTO [dbo].[table] ([column]) VALUES ();，直接触发语法错误；
• 如果输入的是字符串内容（比如test），生成的SQL是INSERT INTO [dbo].[table] ([column]) VALUES (test);，数据库会把test识别为列名而非字符串值，同样导致语法错误。

临时快速修复（仅解决当前语法问题，不消除注入风险） #

给文本框的值包裹单引号，适配字符串类型列的SQL语法要求：

protected void Button1_Click(object sender, EventArgs e)
{
     con.Open();
     // 为文本框值添加单引号，修正字符串值的SQL语法
     SqlCommand cmd = new SqlCommand("INSERT INTO [dbo].[table]\r\n           ([column])\r\n\r\n     VALUES\r\n           ('"+TextBox1.Text+"');"); 

     cmd.Connection = con;
     cmd.ExecuteNonQuery();
     con.Close();

     Response.Write("<script>alert('added')</script>");
}

注意：该方案仅临时解决语法问题，依然存在SQL注入风险；如果文本框输入包含单引号（比如O'Neil），会再次触发语法错误，仅作为过渡方案使用。

推荐的永久解决方案（参数化查询，同时解决语法与注入问题） #

采用参数化查询是处理SQL语句的标准方式，完美适配Microsoft.Data.SqlClient，同时彻底解决语法错误与SQL注入风险：

protected void Button1_Click(object sender, EventArgs e)
{
     using (con) // 使用using自动管理连接，避免手动关闭的疏漏
     {
         con.Open();
         // 定义带参数占位符的SQL语句
         string sql = "INSERT INTO [dbo].[table] ([column]) VALUES (@ColumnValue);";
         SqlCommand cmd = new SqlCommand(sql, con);
         // 添加参数（根据你的列类型调整SqlDbType与长度）
         cmd.Parameters.Add("@ColumnValue", SqlDbType.NVarChar, 255).Value = TextBox1.Text;

         cmd.ExecuteNonQuery();
     }

     Response.Write("<script>alert('added')</script>");
}

• 参数化查询会自动处理字符串的单引号转义，彻底避免语法错误；
• 从根源上杜绝SQL注入风险；
• using语句确保数据库连接被正确释放，避免连接泄漏问题。

内容的提问来源于stack exchange，提问作者thedisplayedName