В чем ошибка в этом коде?

Question

Я хочу воспроизвести строку в richtextbox

private void button1_Click(object sender, EventArgs e) {
        SqlConnection con = new SqlConnection("Data Source=MOSTAFA\\SQLEXPRESS;Initial Catalog=company;Integrated Security=True");
        SqlCommand com = new SqlCommand("select * from data where id='"+textBox1.Text+"')",con);
        con.Open();
        SqlDataReader read = com.ExecuteReader();
        if (read.Read())
            richTextBox1.Text = "id" + read[0].ToString();
        else
            label3.Text=("The client didn't found");
    }

Answer 1

В сгенерированном запросе есть ошибка. У вас есть закрывающая скобка без открывающей. Строка, которая у вас есть, выдает:

select * from data where id='sometest')

, что приведет к синтаксической ошибке SQL Server.

Попробуйте вместо этого:

SqlCommand com = new SqlCommand("select * from data where id='"+textBox1.Text+"'",con);

Answer 2

У вас есть лишние скобки в этом операторе SQL.

Но что более важно, вы оставляете себя широко открытым для SQL-инъекций.Чтобы обойти эту разрушительную и легко решаемую проблему, используйте параметризованные запросы.