跨表插入数据报错求助：从clients表取数插入MoveInfo表时出错

你的代码实现如下：

decimal saldo = getDbSaldo($@"SELECT Balance FROM clients WHERE Pin='{pin}' AND CardNumber = '{numeroCartao}'");
insertExtrato($@"insert into  MoveInfo (CardNumber, Deposit, Saldo, Withdraw, DataHora) Values({numeroCartao}, {deposit}, {saldo}, {withdraw}, getDate())");

结合数据成功写入但持续报错的现象，从以下几个方向排查：

1. 字符串拼接导致的SQL语法/类型错误 #

如果CardNumber是字符串类型（如varchar/nvarchar），你当前的插入语句中{numeroCartao}没有加单引号，数据库会将其解析为数字。若卡号包含非数字字符，会触发类型转换错误；若卡号是纯数字，可能侥幸执行成功，但其他场景报错。

2. getDbSaldo方法的潜在异常 #

检查getDbSaldo的内部实现：

• 当查询不到匹配Pin和CardNumber的记录时，是否会抛出异常？
• 方法是否正确处理了数据库返回的空值或数据类型转换问题？
  如果该方法抛出异常但未中断后续插入流程，就会出现“数据写入但报错”的矛盾现象。

3. 事务缺失导致的部分执行 #

若你的操作未包裹在事务中，getDbSaldo的查询报错不会回滚后续的插入操作，最终表现为数据写入成功，但查询环节的错误被抛出。

4. 数据类型精度/匹配问题 #

核对MoveInfo表的字段定义：

• Deposit、Saldo、Withdraw的decimal精度是否与变量deposit、saldo、withdraw一致？精度不匹配可能触发截断或转换报错，即使数据最终写入。

5. 先定位具体错误信息 #

添加异常捕获，明确错误来源（查询/插入环节）和具体原因：

try
{
    decimal saldo = getDbSaldo($@"SELECT Balance FROM clients WHERE Pin='{pin}' AND CardNumber = '{numeroCartao}'");
    insertExtrato($@"insert into  MoveInfo (CardNumber, Deposit, Saldo, Withdraw, DataHora) Values({numeroCartao}, {deposit}, {saldo}, {withdraw}, getDate())");
}
catch (Exception ex)
{
    // 输出错误详情，替换为你实际的日志/打印方式
    Console.WriteLine($"错误内容：{ex.Message}");
    Console.WriteLine($"调用栈：{ex.StackTrace}");
}

必做修复：替换为参数化查询 #

当前的字符串拼接写法存在严重SQL注入风险，同时也是语法错误的根源，立即改用参数化查询：

查询Balance的参数化实现 #

// 调整getDbSaldo方法，支持接收参数
string query = "SELECT Balance FROM clients WHERE Pin = @Pin AND CardNumber = @CardNumber";
SqlParameter[] parameters = new SqlParameter[]
{
    new SqlParameter("@Pin", pin),
    new SqlParameter("@CardNumber", numeroCartao)
};
decimal saldo = getDbSaldo(query, parameters);

插入MoveInfo的参数化实现 #

// 调整insertExtrato方法，支持接收参数
string insertSql = "INSERT INTO MoveInfo (CardNumber, Deposit, Saldo, Withdraw, DataHora) VALUES (@CardNumber, @Deposit, @Saldo, @Withdraw, GETDATE())";
SqlParameter[] insertParams = new SqlParameter[]
{
    new SqlParameter("@CardNumber", numeroCartao),
    new SqlParameter("@Deposit", deposit),
    new SqlParameter("@Saldo", saldo),
    new SqlParameter("@Withdraw", withdraw)
};
insertExtrato(insertSql, insertParams);

参数化查询会自动处理数据类型转换，彻底避免字符串拼接带来的语法错误和注入风险。

内容的提问来源于stack exchange，提问作者user20571251