从SQL Server读取数据遇SqlException：无效列名ErneGaels求助

嘿，我一眼就看出问题出在哪了——这是字符串拼接SQL时非常容易踩的坑！

错误原因分析 #

你当前拼接出来的SQL语句是这样的：

SELECT * FROM Registeration WHERE TeamName = ErneGaels

SQL会把ErneGaels当成列名而不是字符串值，自然就报"Invalid column name 'ErneGaels'"了。而你硬编码的时候加了单引号'ErneGaels'，SQL才会把它识别成字符串常量，所以能正常运行。

但更重要的是：直接拼接用户输入（哪怕是Session里的团队名）会导致SQL注入风险，这是非常危险的做法！所以我强烈推荐用参数化查询来解决这个问题。

修正后的代码（参数化版本，推荐） #

DataTable dt = new DataTable();
sqlcon.Open();
string TeamN = (string)Session["TeamName"];
SqlDataReader myReader = null;

// 使用参数化查询，避免SQL注入和语法错误
SqlCommand myCommand = new SqlCommand("SELECT * FROM Registeration WHERE TeamName = @TeamName", sqlcon);
// 添加参数并指定类型（比AddWithValue更安全，能避免类型转换问题）
myCommand.Parameters.Add("@TeamName", System.Data.SqlDbType.NVarChar).Value = TeamN;

myReader = myCommand.ExecuteReader();
while (myReader.Read())
{
    lblID123.Text = myReader["TeamID"].ToString();
    lblName.Text = myReader["TeamName"].ToString();
    lblCounty.Text = myReader["County"].ToString();
    lblEmail.Text = myReader["Email"].ToString();
    lblPassword.Text = myReader["Password"].ToString();
    Session["TeamID"] = lblID123.Text.Trim();
}
// 记得关闭DataReader和连接
myReader.Close();
sqlcon.Close();

额外优化建议（可选但推荐） #

为了避免资源泄漏，建议用using语句来自动管理SqlConnection、SqlCommand和SqlDataReader的生命周期：

string TeamN = (string)Session["TeamName"];
using (SqlConnection sqlcon = new SqlConnection("你的连接字符串"))
{
    sqlcon.Open();
    using (SqlCommand myCommand = new SqlCommand("SELECT * FROM Registeration WHERE TeamName = @TeamName", sqlcon))
    {
        myCommand.Parameters.Add("@TeamName", System.Data.SqlDbType.NVarChar).Value = TeamN;
        using (SqlDataReader myReader = myCommand.ExecuteReader())
        {
            if (myReader.Read()) // 如果每个团队名只对应一条记录，用if比while更合适
            {
                lblID123.Text = myReader["TeamID"].ToString();
                lblName.Text = myReader["TeamName"].ToString();
                lblCounty.Text = myReader["County"].ToString();
                lblEmail.Text = myReader["Email"].ToString();
                lblPassword.Text = myReader["Password"].ToString();
                Session["TeamID"] = lblID123.Text.Trim();
            }
        }
    }
}

不推荐的临时解决方案（仅作理解用） #

如果你非要用字符串拼接（强烈不建议），需要给变量加上单引号：

SqlCommand myCommand = new SqlCommand("SELECT * FROM Registeration WHERE TeamName = '" + TeamN + "'", sqlcon);

但这种方法存在SQL注入风险，比如如果TeamName的值是' OR 1=1 --，就会查询出所有数据，非常不安全，所以务必使用参数化查询！

内容的提问来源于stack exchange，提问作者TommyK123