2012-09-28 15 views

回答

1

你忘了使用單引號。使用方法:

string commandText = "select EmailAddress from Accounts_Users where [email protected]"; 
SqlCommand cmd = new SqlCommand(commandText, conn); 
cmd.Parameters.Add("@EmailAddress", REmailTextBox.Text); 
+0

更改了添加參數的答案。儘管我通常寧願將這些問題留給那些詢問這類問題的人的學習經歷。這應該可以保護您免受基本的SQL注入以及修復原始問題。 –

2

您缺少電子郵箱地址附近的引號。但是 - 這是一個等待發生的SQL注入攻擊。請切換至使用參數。

string strSQL = "select EmailAddress from Accounts_Users where EmailAddress = @EmailAddress" 

... 

cmd.Parameters.AddWithValue("@EmailAddress", REmailTextBox.Text);