向系统添加车辆信息时CarId字段出现“Letter”附近语法错误的原因排查

为什么会触发这些异常？ #

你遇到的Invalid Column name和语法错误，核心原因是字符串类型字段在SQL拼接时缺少单引号：
你的CarId字段是varchar类型，但拼接SQL时直接写了values(" + txtCarId.Text + ", ...)，当你输入字母（比如"ABC"），生成的SQL会变成：

insert into CAR(CarID,Model,...) values(ABC,'ModelX','Red',...)

SQL会把ABC当成列名而非字符串值，自然就抛出“无效列名”的错误。另外如果Price是字符串类型，也会存在同样的语法问题。

更关键的是，这种直接拼接用户输入的写法存在严重的SQL注入风险，恶意用户可以通过输入特殊字符篡改SQL语句，甚至破坏整个数据库。

正确的实现方式：使用参数化查询 #

参数化查询可以自动处理类型转换和字符串引号问题，同时彻底避免SQL注入。修改后的代码如下：

private void btnAddCar_Click(object sender, EventArgs e)
{
    // 优化输入校验，覆盖空字符串和纯空格的情况
    if (string.IsNullOrWhiteSpace(txtCarId.Text) || 
        string.IsNullOrWhiteSpace(txtModel.Text) || 
        string.IsNullOrWhiteSpace(txtColor.Text) || 
        string.IsNullOrWhiteSpace(txtFuelType.Text) || 
        string.IsNullOrWhiteSpace(txtPrice.Text) ||
        cmbBoxAvailable.SelectedItem == null)
    {
        MessageBox.Show("Missing Information");
        return;
    }

    try
    {
        // 使用using语句自动释放连接资源，避免手动关闭遗漏
        using (var sqlCon = new SqlConnection(Con.ConnectionString)) // 复用你的连接字符串
        {
            sqlCon.Open();
            // 用@占位符代替直接拼接用户输入
            string query = @"insert into CAR(CarID, Model, Color, FuelType, Available, Price) 
                            values(@CarId, @Model, @Color, @FuelType, @Available, @Price)";
            
            using (SqlCommand cmd = new SqlCommand(query, sqlCon))
            {
                // 逐个添加参数，自动处理类型和引号
                cmd.Parameters.AddWithValue("@CarId", txtCarId.Text);
                cmd.Parameters.AddWithValue("@Model", txtModel.Text);
                cmd.Parameters.AddWithValue("@Color", txtColor.Text);
                cmd.Parameters.AddWithValue("@FuelType", txtFuelType.Text);
                cmd.Parameters.AddWithValue("@Available", cmbBoxAvailable.SelectedItem.ToString());
                
                // 对Price做数值校验（如果数据库是数值类型的话）
                if (decimal.TryParse(txtPrice.Text, out decimal carPrice))
                {
                    cmd.Parameters.AddWithValue("@Price", carPrice);
                }
                else
                {
                    MessageBox.Show("Invalid Price Format");
                    return;
                }

                cmd.ExecuteNonQuery();
                MessageBox.Show("Car Successfully Added");
                populate();
            }
        }
    }
    catch (Exception myEx)
    {
        MessageBox.Show($"Error: {myEx.Message}");
    }
}

额外优化细节 #

1. 用string.IsNullOrWhiteSpace替代空字符串判断，能识别用户输入纯空格的无效情况；
2. 增加cmbBoxAvailable.SelectedItem的非空校验，避免调用ToString()时抛出空引用异常；
3. 使用using语句管理SqlConnection和SqlCommand，确保资源自动释放，即使发生异常也不会导致数据库连接泄漏；
4. 对Price字段做数值转换校验，避免输入非数值内容导致插入失败。

内容的提问来源于stack exchange，提问作者Kavi