C# 填充ComboBox时出现字符串错误，是否为SQL拼接导致？

不能直接断定报错100%由SQL字符串拼接导致，但拼接写法存在严重缺陷，是大概率的报错诱因。

1. 现有拼接写法的问题 #

你当前的拼接代码存在两个明显缺陷：

• string.Format用法错误：你没有用到占位符{0}，而是直接用+拼接字符串后传入string.Format，属于无效用法，虽不会直接触发报错，但毫无意义。
• 未处理特殊表名场景：如果传入的tabla参数是SQL保留关键字（比如user、order）、或者表名包含空格、特殊符号，直接拼接会触发SQL语法错误。示例：如果表名是用户信息，拼接出来的SQL为select * from 用户信息 where ativo=1，在SQL Server中执行会直接报错，需要用方括号包裹表名。

正确的拼接写法应该是：

// 用方括号包裹表名，适配特殊表名场景
string CMDC = string.Format("select * from [{0}] where ativo=1", tabla);

另外要注意：直接拼接表名的写法存在SQL注入风险，如果tabla参数来自用户输入，必须做严格的白名单校验。

2. 其他可能的报错原因 #

除了拼接问题外，还有以下常见诱因会导致报错：

• 数据库连接失败：你的连接字符串是硬编码的，如果运行环境的数据库实例名、账号密码、库名和代码中不一致，会直接抛出连接异常。
• 资源未正确释放：你的SqlConnection没有用using语句包裹，一旦中间执行报错触发异常，cnn.Close()不会执行，会导致连接泄漏，后续请求可能触发连接池已满的报错。优化后的CargaCombo方法建议写法：

public static DataTable CargaCombo(string cmd)
{
    string connetionString = @"Data Source=GIZEH-PC\SQLEXPRESS;Initial Catalog=sisgar;User ID=sa;Password=giza3587";
    using (SqlConnection cnn = new SqlConnection(connetionString))
    {
        cnn.Open();
        DataTable DT = new DataTable();
        SqlDataAdapter DP = new SqlDataAdapter(cmd, cnn);
        DP.Fill(DT);
        return DT;
    }
    // using会自动释放连接，无需手动调用Close
}

• 入参非法：如果tabla参数传入空值、null或者不存在的表名，也会触发执行报错。

内容的提问来源于stack exchange，提问作者Alejandro Carnero