pourquoi ce code ne fonctionnera pas

Question

j'ai mis un éditeur pour accéder à son contenu dans la base de données, puis je peux retrive et de le modifier et l'enregistrer est encore et voici ce que je l'ai utilisé:

string user = Page.User.Identity.Name; 

    MySqlConnection conn = new MySqlConnection(@"connection string;"); 
    MySqlCommand cmd = new MySqlCommand("UPDATE copy SET cv='" + '"' + Editor1.Content.Replace("'", "''") + '"' + "' WHERE id = '" + user + "' ", conn); 

    conn.Open(); 
    cmd.ExecuteNonQuery(); 

    conn.Close(); 

encartage et sélectionnez fonctionne bien mais mise à jour ne fait pas, il ne donne pas d'erreurs, mais il ne change tout simplement pas le contenu (peu importe ce que je change, il reste toujours le même contenu);

Je sais que c'est ouvert à l'injection sql et je passer à la requête et je paramétrisé faire cela après que les choses fonctionnent

je suis en utilisant asp.net 3.5, MySQL 5.0

j'ai identifié le problème et de faire une nouvelle question avec elle vous remercie tous pour votre aide

Answer 1

Peu importe pourquoi cela ne fonctionne pas, c'est tout simplement faux.

Vous êtes grand ouvert à SQL injection attacks, et cela devrait être votre première préoccupation.

Vous corriger cela en utilisant des paramètres à la place, quelque chose comme ceci:

MySqlCommand cmd = new MySqlCommand("UPDATE copy SET cv=?cv WHERE id = ?id", conn); 
cmd.Parameters.AddWithValue("cv", Editor1.Content); 
cmd.Parameters.AddWithValue("id", user); 

Answer 2

ExecuteNonQuery doit retourner le nombre de lignes effectuées, dans cet esprit, vous pouvez déboguer le code. Pour nous aider à écrire la déclaration sql que vous produisez en chaîne? En plus, cette première chose qui vient à l'esprit est que id = 'user' n'a peut-être pas raison, id suggère un entier mais le nom ressemble à une valeur de chaîne.