Discussion :

[loic20h28]

Bonjour,

J'ai une application sous Visual Studio.Net en C#.
Je souhaiterais que cette application enregistre dans ma base les résultats des TextBox et Combo.
Voila ce que j'ai effectué :

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
// DECLARATIONS
			string RequeteSQL;
			SqlConnection connection;
			SqlCommand command;
			SqlDataAdapter _MonDataAdapter;
			System.Data.DataTable _MaDataTable;
 
			// CONNEXION
			connection = new SqlConnection("Data Source=DIST-5B8D87E3A9;Initial Catalog=DistribInfo;Integrated Security=SSPI");
try
			{
				connection.Open();
// RECUPERER LA LISTE DES MACHINES QUI ONT POUR NUMERO NUMMACHINE.TEXT
				RequeteSQL = "SELECT M_IDMAT FROM MACHINE WHERE M_IDMAT='" + NumMachine.Text + "'";
 
				_MonDataAdapter = new SqlDataAdapter(RequeteSQL, connection);
 
				_MaDataTable = new DataTable();
				_MonDataAdapter.Fill(_MaDataTable);
 
				// SI IL N'Y EN A PAS
				if (_MaDataTable.Rows.Count == 0)
				{
					command = new SqlCommand("INSERT INTO MACHINE(M_IDMAT, M_NUMCLT, M_NUMCTACT, M_NOMMAT, M_CONFMAT, M_NOMUTIL, M_RAP_RESP, M_RESINTER) VALUES('" + NumMachine.Text + "', '" + NumClt.Text + "', '" + NumContact.Text + "','" + NomMachine.Text + "', '" + ConfigMachine.Text + "', '" + NomUtMachine.Text + "', '" + RespUt.Text + "', '" + RaisonInter.Text + "'", connection);
					command.ExecuteNonQuery();
 
					command = new SqlCommand("INSERT INTO INTERVENTION(IN_NUMINTER, C_NUMCLT, IN_M_NUMCLT, IN_IDMAT, IN_RESINTER, IN_DEPOMAT, IN_RECEPMAT, IN_PRICHARG) VALUES('" + NumIntervention.Text + "', '" + NumClt.Text + "', '" + NumClt.Text + "','" + NumMachine.Text + "', '" + RaisonInter.Text + "', '" + Dépositaire.Text + "', '" + Réceptionneur.Text + "', '" + DatePrisEnCharge.Text + "'", connection);
					command.ExecuteNonQuery();
				}
					// SI IL Y EN A 1 OU PLUS
				else if (_MaDataTable.Rows.Count > 0)
				{
					command = new SqlCommand("INSERT INTO INTERVENTION(IN_NUMINTER, C_NUMCLT, IN_M_NUMCLT, IN_IDMAT, IN_RESINTER, IN_DEPOMAT, IN_RECEPMAT, IN_PRICHARG) VALUES('" + NumIntervention.Text + "', '" + NumClt.Text + "', '" + NumClt.Text + "','" + NumMachine.Text + "', '" + RaisonInter.Text + "', '" + Dépositaire.Text + "', '" + Réceptionneur.Text + "', '" + DatePrisEnCharge.Text + "'", connection);
					command.ExecuteNonQuery();
				}
			}
			catch(Exception ex)
			{
				MessageBox.Show(ex.Message);
			}
			finally
			{
				connection.Close();
			}  
		}

mais lorsque j'appuie sur le bouton pour enregistrer, ça ne fonctionne pas c'est à dire qu'il m'affiche les choses suivantes :

lorsque le numéro de la machine existe alors le message est le suivant :
Citation:
Ligne 1 : syntaxe incorrecte vers '02/02/2008'

'02/02/2008' correspond au champ "IN_PRICHARG"

lorsque le numéro de la machine est inexistant alors le message est le suivant :
Citation:
Ligne 1 : syntaxe incorrecte vers 'yhsfs'

'yhsfs' correspond au champ "IN_RESINTER"

Si quelqu'un a une idée, je suis preneur car ce problème persiste depuis trop longtemps.

merci d'avance!!

[Pol63]

nous ne sommes plus dans les années 90
il est pas pratique, risqué et buggable de composer sa requete paramétrée soi meme


utilise des sqlparameter

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
3
4
5
6
requete = "INSERT INTO table (madate) values (@date)"
dim p as new data.sqlclient.sqlparameter("@date",SqlDbType.DateTime)
p.value = montextbox.text
 
cmd.parameters.Add(p)
cmd.executenonquery

désolé c'est du vb
mais un sqlparameter te permet de ne pas te poser de question, ta date sera traduite selon comme ta base de données les veux
c'est pratique aussi pour les string, car si un utilisateur te mets des ' dans le textbox, tu n'as pas à les remplacer par 2x ' , le sqlparameter se débrouille


de plus avec un string ca fait une faille de sécurité
la plus connu, un utilisateur qui dans un texbox marque

' GO
DELETE * FROM telle_table
GO

tu te retrouves avec une requete qui fait mal ...

[loic20h28]

Ok.
Tu pense que ca peux venir de la le fait que j'ai pas utilisé de requête paramétré??
Tu as une idée comment je peux faire les requêtes paramétrées??
Le problème c'est que je peux pas mettre " @date " dans le Values car il corresponde au réponse des textBox et comboBox.

merci d'avance.
P.S: si t'en a pas, pas grave je vais chercher tout de même mais on sait jamais.

[Pol63]

fait ce que je t'ai dit, je peux rien te dire de plus !


au lieu de faire & textbox.text & "','" & machin etc...

tu fais des varaibles sql (qui commencent par @)


values (@machin,@bidule,@var)

et tu fais des add de sqlparameter !!!!!

ca ne peut que fonctionner
et je crois que t'es meme pas obligé de faire des new et, le add a une surcharge qui va bien et qui permet de faire .value derrière car il retourne le sqlparameter créé

[fally]

tu as essayé d'inserer un chamt "text" dans du "datetime" je crois
fais un

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

Convert.ToDateTime

avant de faire l'insertion

[Pol63]

il est fait automatiquement
le champs value du sqlparameter est de type object mais dans le new on peut spécifier le type
donc on peut lui donner du texte, au moment de l'execution de la requete il sera traduit en date si on l'a demandé

[rad_hass]

c clair que vaut mieux écrire avec des parameters, le plus simple est de faire :

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
3
4
5
6
7
8
 
public Client getClient(String Login){
SqlConnexion conn = new SqlConnexion(stringconnexion);
SqlCommand cmd = new  SqlCommand("Select * from client where Login=@Login;", conn);
cmd.Parameters.AddWithValue("@Login", Login);
conn.open();
 
...