如何將編輯器中的html代碼插入到MySQL數據庫中？

Question

我有一個html編輯器，我試圖插入它生成的html到數據庫中，然後在另一個頁面中檢索它是SQL表。 我正在使用一個帶有asp 3.5的文本字段的表格。下面是代碼：

MySqlConnection con = new MySqlConnection(@"Connection String ");//I've tested the connection string and its working fine 

MySqlCommand cmd = new MySqlCommand("INSERT INTO ins (tes) VALUES ('" + Editor1.Content + "')", con); 

con.Open(); 
cmd.ExecuteNonQuery(); 
con.Close(); 

這是我的錯誤：

您的SQL語法錯誤;檢查與您的MySQL服務器版本相對應的手冊，以找到在'font-size：18pt;行高：115％;無論在線1

這是怎麼做到的？提前致謝。

Answer 1

而你打開自己的SQL注入很多。來自用戶的數據應該在數據庫結束之前進行檢查和消毒。

此外，使用ASP.NET，您需要從回發中刪除任何HTML標記，因爲框架檢查來自瀏覽器的可能的HTML注入。

刪除標記（或者被什麼東西取代<像<）和服務器轉換回後，您可以使用類似：

MySqlCommand cmd = new MySqlCommand("INSERT INTO ins (tes) VALUES ('" + Editor1.Content.Replace("'", "''") + "')", con); 
con.Open(); 
cmd.ExecuteNonQuery(); 
con.Close(); 

雖然你應該做參數化查詢。

Answer 2

我認爲你應該使用參數化查詢而不是信任用戶數據entry.please什麼是tes類型，並且你能澄清什麼是錯誤或異常？

Answer 3

像這樣的東西可能會奏效：

MySqlCommand cmd = new MySqlCommand("INSERT INTO ins (tes) VALUES (@text)", con); 

cmd.Parameters.Add("@text", SqlDbType.Text); 
cmd.Parameters["@text"].Value = txtTextField.Text; 

con.Open(); 
cmd.ExecuteNonQuery(); 
con.Close();