C# Visual Studio窗体中SQL语句用Windows身份验证查询报错求助

错误根源 #

你的SQL语句报错有两个核心问题：

• Windows用户名格式通常是域名\用户名（比如WORKGROUP\JohnDoe），直接拼入SQL时，既没给字符串字段加单引号，特殊字符也会破坏SQL语法结构，这就是触发Incorrect Syntax near ''''.'错误的原因。
• 直接拼接字符串存在严重SQL注入风险，这种写法绝对不能用于生产环境。

正确代码实现 #

1. 保留用户名获取逻辑 #

string windowsUserName = WindowsIdentity.GetCurrent().Name;

2. 改用参数化查询（核心修正） #

替换字符串拼接的写法，用参数化查询避免语法错误和注入风险：

// 假设你已正确初始化并打开了数据库连接对象conn
using (SqlCommand comm = new SqlCommand("Select [EmployeeName] as Name from Employee where ID = @WindowsUser", conn))
{
    // 添加参数，匹配字段类型（这里假设ID是nvarchar类型，可根据实际表结构调整）
    comm.Parameters.Add("@WindowsUser", SqlDbType.NVarChar).Value = windowsUserName;

    using (var registro = comm.ExecuteReader())
    {
        // 注意原代码中While是大写拼写错误，需改为小写while
        while (registro.Read())
        {
            label1.Text = registro["Name"].ToString();
        }
    }
}

额外注意点 #

• 检查Employee表中ID字段的数据类型，若不是字符串类型，需对应调整SqlDbType（比如SqlDbType.Int）。
• 补全原代码中缺失的闭合大括号：using (SqlCommand...)和while块都缺少}，必须补全才能正常编译。

内容的提问来源于stack exchange，提问作者melimartine