PowerShell中CSV记录拼接SQL字符串时$User.ARN取值异常问题

这个问题的核心是PowerShell在双引号字符串里的变量解析规则搞的鬼！

你在构建SQL字符串时直接写$User.ARN，PowerShell的解析器并没有把它识别成“访问$User对象的ARN属性”，而是只解析了$User这个变量，把它的字符串表示（也就是整行CSV数据）插了进去，后面的.ARN反而被忽略或者当成了无效内容——这就是为什么你看到那个位置被整行数据替代了。

解决步骤 #

1. 用子表达式包裹属性访问
   在PowerShell的双引号字符串中，要访问对象的属性或者执行表达式，必须用$()把整个表达式包裹起来，这样解析器才会先计算出属性值，再插入到字符串里。

   修改你的SQL字符串代码：

   $SQLQuery = "USE Cardpresso INSERT INTO dbo.students (Name, ARN, CardNumber, isPrinted) VALUES('$DisplayName', '$($User.ARN)' , '$CardNumber', 0);"
   

   这里给$($User.ARN)加了单引号，是因为ARN通常是字符串类型，不加单引号会导致SQL语法错误；如果你的ARN是数字类型，可以去掉单引号。

2. 额外的最佳实践（避免SQL注入）
   直接拼接SQL字符串存在SQL注入的风险，比如如果$DisplayName里包含单引号，你的SQL语句会直接报错。更安全的做法是使用参数化查询，举个简单例子：

   $connectionString = "你的数据库连接字符串"
   $sql = "USE Cardpresso INSERT INTO dbo.students (Name, ARN, CardNumber, isPrinted) VALUES(@Name, @ARN, @CardNumber, 0);"
   
   $connection = New-Object System.Data.SqlClient.SqlConnection($connectionString)
   $command = New-Object System.Data.SqlClient.SqlCommand($sql, $connection)
   
   # 添加参数
   $command.Parameters.AddWithValue("@Name", $DisplayName)
   $command.Parameters.AddWithValue("@ARN", $User.ARN)
   $command.Parameters.AddWithValue("@CardNumber", $CardNumber)
   
   $connection.Open()
   $command.ExecuteNonQuery()
   $connection.Close()
   

   这种方式不仅能避免语法错误，还能彻底防范SQL注入。

内容的提问来源于stack exchange，提问作者markdem