有麻煩與SQL和C＃

Question

我試圖在數據庫中修改一個表，如下所示：

using (SqlCeCommand com = new SqlCeCommand("INSERT INTO RamResults(Result, Date) VALUES(@num, @date)", con)) 
{ 
    com.Parameters.AddWithValue("@num", num); 
    com.Parameters.AddWithValue("@hostname2", hostname2); 
    com.Parameters.AddWithValue("@date", Form1.date); 
    com.ExecuteNonQuery(); 
} 

雖然表名具有可變前綴（主機名2）。所以我試圖做到以下幾點：

("INSERT INTO @hostname2 + RamResults(Result, Date) VALUES(@num, @date)", con)) 

但沒有運氣，任何人有任何想法來解決這個問題？

錯誤消息：

有解析查詢錯誤。 [令牌行號= 1，令牌 行偏移= 13，令牌出錯= @主機名2]

Answer 1

如果您使用像這樣的預處理語句，@hostname2將被替換爲'value'。
您應該使用string.Format()代替：

string hostprefix = 'host2_'; // example 
string sql = string.Format("INSERT INTO {0}RamResults(Result, Date) "+ 
          " VALUES(@num, @date)", hostprefix); 
using (SqlCeCommand com = new SqlCeCommand(sql, con)) 
// .... 

，但只有使用的String.format爲您hostprefix，而不是用戶的輸入！這樣你可以防止SQL注入。

Answer 2

您不能使用參數改變表名。對於那部分，你將需要使用動態SQL。

Answer 3

就像在「正常」的SQL中，要插入的表的名稱不能被參數化。

Answer 4

改變這樣的代碼：

new SqlCeCommand(String.Format("INSERT INTO {0}RamResults (Result, Date) VALUES(@num, @date)", hostname2), con)) 

然後不及格/設置@主機名2的參數了。 SQL參數與動態SQL生成不同...