Lo script Powershell che utilizza ExecuteNonQuery() genera l'eccezione "Sintassi errata vicino a" s "."

Question

Ho scritto uno script molto semplice che raccoglie dati da file e cartelle e li carica in un database SQL. Credo che il mio problema sia legato al problema di parameterized sql, ma non capisco come o perché.

penso che quello che devo fare è riformattare la stringa SQL per evitare che alcuni personaggi a entrare.

Qualsiasi aiuto apprezzato.

Ecco il codice:

$Command = New-Object System.Data.SQLClient.SQLCommand 
$Command.Connection = $dbConnection 
$Command.CommandText = "INSERT INTO FileSizeTable (FileName,FileSize,FileNameLength,Date) VALUES ('$i','$items','$temp','$currentDate')" 

$Command.ExecuteNonQuery() 

"INSERT INTO FileSizeTable (FileName,FileSize,FileNameLength,Date) VALUES ('$i','$items','$temp','$currentDate')" 

Ecco l'uscita (ho spinto la stringa di comando SQL con esso come un test):

INSERT INTO FileSizeTable (FileName,FileSize,FileNameLength,Date) VALUES ('ATI Te 
chnologies','61.16 MB','39','05/24/2013 21:05:56') 
ATI Technologies   61.16 MB           39 
1 
INSERT INTO FileSizeTable (FileName,FileSize,FileNameLength,Date) VALUES ('ATIToo 
l','0.00 MB','30','05/24/2013 21:05:56') 
ATITool      0.00 MB           30 
1 
INSERT INTO FileSizeTable (FileName,FileSize,FileNameLength,Date) VALUES ('Auran' 
,'7,496.04 MB','28','05/24/2013 21:05:56') 
Auran      7,496.04 MB          28 
Exception calling "ExecuteNonQuery" with "0" argument(s): "Incorrect syntax near 
's'. 
Unclosed quotation mark after the character string ')'." 
At line:143 char:25 
+       $Command.ExecuteNonQuery() 
+       ~~~~~~~~~~~~~~~~~~~~~~~~~~ 
+ CategoryInfo   : NotSpecified: (:) [], MethodInvocationException 
+ FullyQualifiedErrorId : SqlException 

Answer 1

Qualunque sia dati che si sta tentando di inserire dopo che il disco "Auran" ha una singola citazione/apostrofo in esso. Quando si utilizza la concatenazione di stringhe per costruire la query, si tratta di un rischio enorme e si apre agli attacchi di SQL injection.

Incolla la stringa che stai costruendo in SSMS o qualche altro strumento che può darti l'evidenziazione della sintassi SQL e la vedrai.

Il post che hai trovato su Coding Horror fornisce il consiglio/risposta corretta - usa una query parametrizzata e questo va via. La concatenazione delle stringhe per le istruzioni SQL è generalmente scoraggiata in questi giorni per motivi di prestazioni e sicurezza. Per non parlare di essere molto più facile da leggere come codice sorgente.

$Command = New-Object System.Data.SQLClient.SQLCommand 
$Command.Connection = $dbConnection 
$Command.CommandText = "INSERT INTO FileSizeTable (FileName,FileSize,FileNameLength,Date) VALUES (@name,@size,@length,@dt)"; 
$Command.Parameters.Add("@name", $i); 
$Command.Parameters.Add("@size", $items); 
$Command.Parameters.Add("@length", $temp); 
$Command.Parameters.Add("@dt", $currentdate); 
$Command.ExecuteNonQuery();