如何将编辑器中的html代码插入到MySQL数据库中？

Question

我有一个html编辑器，我试图插入它生成的html到数据库中，然后在另一个页面中检索它是SQL表。 我正在使用一个带有asp 3.5的文本字段的表格。下面是代码：

MySqlConnection con = new MySqlConnection(@"Connection String ");//I've tested the connection string and its working fine 

MySqlCommand cmd = new MySqlCommand("INSERT INTO ins (tes) VALUES ('" + Editor1.Content + "')", con); 

con.Open(); 
cmd.ExecuteNonQuery(); 
con.Close(); 

这是我的错误：

您的SQL语法错误;检查与您的MySQL服务器版本相对应的手册，以找到在'font-size：18pt;行高：115％;无论在线1

这是怎么做到的？提前致谢。

Answer 1

而你打开自己的SQL注入很多。来自用户的数据应该在数据库结束之前进行检查和消毒。

此外，使用ASP.NET，您需要从回发中删除任何HTML标记，因为框架检查来自浏览器的可能的HTML注入。

删除标记（或者被什么东西取代<像<）和服务器转换回后，您可以使用类似：

MySqlCommand cmd = new MySqlCommand("INSERT INTO ins (tes) VALUES ('" + Editor1.Content.Replace("'", "''") + "')", con); 
con.Open(); 
cmd.ExecuteNonQuery(); 
con.Close(); 

虽然你应该做参数化查询。

Answer 2

我认为你应该使用参数化查询而不是信任用户数据entry.please什么是tes类型，并且你能澄清什么是错误或异常？

Answer 3

像这样的东西可能会奏效：

MySqlCommand cmd = new MySqlCommand("INSERT INTO ins (tes) VALUES (@text)", con); 

cmd.Parameters.Add("@text", SqlDbType.Text); 
cmd.Parameters["@text"].Value = txtTextField.Text; 

con.Open(); 
cmd.ExecuteNonQuery(); 
con.Close();