从字符串转换日期和/或时间时转换失败；使用 SQLCommand.CommandText 和 SQLCommand.Parameters.AddWithValue

问题描述

我正在尝试将数据插入到我的 sql Server 2014 数据库中。我使用 @parameters 编写 sql 查询并使用 sqlCommand.Parameters.AddWithValue 解析值，而无需担心 sql 注入。

问题是，当我启动程序时，出现此异常：

从字符串转换日期和/或时间时转换失败

using (sqlCommand insertCall = new sqlCommand())
{
    insertCall.Connection = connection;
    insertCall.CommandType = CommandType.Text;

    insertCall.CommandText = "INSERT into CallingHistory  (historyid,callid,duration," +
                               "[time-start],[time-answered],[time-end],[reason-terminated],[from-no],[to-no],[from-dn],[to-dn],[dial-no]," +
                               "[reason-changed],[final-number],[final-dn],[bill-code],[bill-rate],[bill-cost],[bill-name],chain,[from-type]," +
                               "[to-type],[final-type],[from-displayname],[to-dispname],[final-dispname],[missed-queue]) " +
                               "VALUES('@historyid','@callid','@duration','@timestart','@timeanswered','@timeend','@reasonterminated','@fromno','@tono','@fromdn','@todn'," +
                               "'@dialno','@reasonchanged','@finalnumber','@finaldn','@billcode','@billrate',@billcost,'@billname','@chain','@fromtype','@totype','@finaltype'," +
                               "'@fromdisplayname','@todispname','@finaldispname','@missedqueue')";

    string billcost = (values[17] == "" ? "0" : values[17]);
    string timeanswered = (values[4] == "" ? dbnull.Value.ToString() : values[4]);
    string duration = (values[2] == "" ? dbnull.Value.ToString() : values[2]);

     insertCall.Parameters.AddWithValue("@historyid",values[0]);
     insertCall.Parameters.AddWithValue("@callid",values[1]);
     insertCall.Parameters.AddWithValue("@duration",duration);
     insertCall.Parameters.AddWithValue("@timestart",values[3]);
     insertCall.Parameters.AddWithValue("@timeanswered",timeanswered);
     insertCall.Parameters.AddWithValue("@timeend",values[5]);
     insertCall.Parameters.AddWithValue("@reasonterminated",values[6]);
     insertCall.Parameters.AddWithValue("@fromno",values[7]);
     insertCall.Parameters.AddWithValue("@tono",values[8]);
     insertCall.Parameters.AddWithValue("@fromdn",values[9]);
     insertCall.Parameters.AddWithValue("@todn",values[10]);
     insertCall.Parameters.AddWithValue("@dialno",values[11]);
     insertCall.Parameters.AddWithValue("@reasonchanged",values[12]);
     insertCall.Parameters.AddWithValue("@finalnumber",values[13]);
     insertCall.Parameters.AddWithValue("@finaldn",values[14]);
     insertCall.Parameters.AddWithValue("@billcode",values[15]);
     insertCall.Parameters.AddWithValue("@billrate",values[16]);
     insertCall.Parameters.AddWithValue("@billcost",billcost);
     insertCall.Parameters.AddWithValue("@billname",values[18]);
     insertCall.Parameters.AddWithValue("@chain",values[19]);
     insertCall.Parameters.AddWithValue("@fromtype",values[20]);
     insertCall.Parameters.AddWithValue("@totype",values[21]);
     insertCall.Parameters.AddWithValue("@finaltype",values[22]);
     insertCall.Parameters.AddWithValue("@fromdisplayname",values[23]);
     insertCall.Parameters.AddWithValue("@todispname",values[24]);
     insertCall.Parameters.AddWithValue("@finaldispname",values[25]);
     insertCall.Parameters.AddWithValue("@missedqueue",values[26]);

    string sqlquery=insertCall.CommandText;

    foreach (sqlParameter item in insertCall.Parameters)
    {
        sqlquery= sqlquery.Replace(item.ParameterName,item.Value.ToString());
    }

    try
    {
        insertCall.ExecuteNonQuery();
    }
    catch (sqlException)
    {
        Console.WriteLine("Error inserting into the database");
    }
}

我尝试将 sql 查询硬编码到 sqlCommand.CommandText (insertCall.CommandText) 中。

我是这样写的：

string sqlquery = insertCall.CommandText;

foreach (sqlParameter item in insertCall.Parameters)
{
    sqlquery = sqlquery.Replace(item.ParameterName,item.Value.ToString());
}

insertCall.CommandText = sqlquery;

try
{
    insertCall.ExecuteNonQuery();
}
catch (sqlException)
{
    Console.WriteLine("Error inserting into the database");
}

insertCall.CommandText = sqlquery;

这是一个例子，insertCall.CommandText 中有什么

INSERT into CallingHistory  (historyid,[time-start],[reason-changed],[to-type],[missed-queue])
VALUES('Call 29273','00000C0F29FCCCBC_82','','2021.03.03 18:07:56','2021.03.03 18:07:58','Failed','Ext.54','012345678','54','Extension','Lineset','M Ulus','\r\n')

当它在 insertCall.CommandText 中时，查询成功，程序成功将数据插入数据库。

我也试过用 DateTime.Parse 进行转换，但还是不行。

insertCall.Parameters.AddWithValue("@duration",DateTime.Parse(duration).TimeOfDay);
insertCall.Parameters.AddWithValue("@timestart",DateTime.Parse(values[3]));
insertCall.Parameters.AddWithValue("@timeanswered",DateTime.Parse(timeanswered));
insertCall.Parameters.AddWithValue("@timeend",DateTime.Parse(values[5]));

我尝试了我能想到的一切。

你们有什么想法吗，问题是什么或解决方法是什么。我真的希望它能够防止 sql 注入。

另一方面，我听说错误可能是因为 sql Server 2014。我们需要更新它。明天我会在 sql Server 2019 上试用一下。

Here are the columns of the table I'm trying to insert

解决方法

暂无找到可以解决该程序问题的有效方法，小编努力寻找整理中！

如果你已经找到好的解决方法，欢迎将解决方案带上本链接一起发送给小编。

小编邮箱:dio#foxmail.com (将#修改为@）