Phải khai báo biến bảng @table

Question

Tôi là người mới bắt đầu trong C# và SQL, tôi có câu lệnh chèn SQL này mà tôi muốn thực hiện. Nó yêu cầu tên bảng trong số các biến khác mà tôi muốn chèn.

Nhưng khi tôi chạy ứng dụng giao diện điều khiển này tôi nhận được lỗi này:

Phải khai báo bảng biến @table

Đây là một phần của mã:

StreamReader my_reader = getFile(args); 
string CS = formCS(); 
try 
{ 
    using (SqlConnection con = new SqlConnection(CS)) 
    { 
     SqlCommand com = new SqlCommand("insert into @table (time, date, pin) values (@time, @date, @pin)", con);      
     con.Open(); 
     Console.WriteLine("Enter table name:"); 
     Console.Write(">> "); 
     string tblname = Console.ReadLine(); 
     com.Parameters.AddWithValue("@table", tblname); 

     string line = ""; 
     int count = 0; 
     while ((line = my_reader.ReadLine()) != null) 
     { 
      Dictionary<string, string> result = extractData(line);       
      com.Parameters.AddWithValue("@time", result["regTime"]); 
      com.Parameters.AddWithValue("@date", result["regDate"]); 
      com.Parameters.AddWithValue("@pin", result["regPin"]); 
      count += com.ExecuteNonQuery(); 
      com.Parameters.Clear();       

     } 
     Console.WriteLine("Recoreds added : {0}", count.ToString()); 
     Console.WriteLine("Press Enter to exit."); 
    } 
    Console.ReadLine(); 
} 
catch (SqlException ex) 
{ 
    Console.WriteLine(ex.Message); 
} 
catch (Exception ex) 
{ 
    Console.WriteLine(ex.Message);     
} 

Answer 1

Bạn không thể làm điều này. Bạn không thể vượt qua các tên bảng như một tham số theo cách bạn đã làm:

SqlCommand com = new SqlCommand("insert into @table ..."); 
... 
com.Parameters.AddWithValue("@table", tblname); 

Bạn có thể làm điều này thay vì:

Console.WriteLine("Enter table name:"); 
Console.Write(">> "); 
string tblname = Console.ReadLine(); 

string sql = String.Format("insert into {0} (time, date, pin) values ... ", tblname); 

SqlCommand com = new SqlCommand(sql, con);      

... 

Answer 2

Tên bảng không thể là một tham số đầu vào trong một truy vấn sql. Tuy nhiên, bạn luôn có thể "lập chuỗi sql TRƯỚC đi qua nó để SqlCommand như sau:

var sqlString = string.Format("insert into {0} (time, date, pin) values (@time, @date, @pin)", tblname) 

và sau đó

SqlCommand com = new SqlCommand(sqlString); 
... 

Answer 3

Hãy thử này ...

string tblname = "; DROP TABLE users;"; 
var sqlString = string.Format("insert into {0} (time, date, pin) values (@time, @date, @pin)", tblname) 

https://en.wikipedia.org/wiki/SQL_injection