Ошибка в операторе like шаблон строки является недопустимым

I’m getting the exception:

Error in Like operator: the string pattern ‘Blah [Blah Blah]’ is invalid.

It’s occurring where I’m using a datatable’s Select method like so:

DataRow[] rows = table.Select("X Like '" + y + "'");

I’ve seen from reading other posts that it’s the square brackets. The posts I’ve read say to escape the squares brackets but most of them focus on the source of the problem being a hard coded string the developer can easily escape.

I’m reading the data in from a database. I could do something like y.replace("[", "\[") which I’m guessing would fix the issue for square brackets. But then I’m wondering, what if elsewhere in the DB there is a string with an * etc.

How do others deal with this? Can I call something that will make a string safe by escaping all possibly illegal characters or is it a case of manually replacing them with escaped equivalents?

DataRow[] rows = table.Select("X Like '" + y + "'");

1 ответ

Я получаю исключение:

Ошибка в операторе Like: шаблон строки «Blah [Blah Blah]» недействителен.

Это происходит, когда я использую datatable. Выберите метод, например:

DataRow[] rows = table.Select("X Like '" + y + "'");

Я видел, как читал другие сообщения, которые, как подозревали, это квадратные скобки. Посты, которые я прочитал, говорят, что они избегают квадратных квадратов, но большинство из них сосредоточено на том, что источником проблемы является жестко закодированная строка, которую разработчик может легко избежать.

Я читаю данные из базы данных. Я мог бы сделать что-то вроде y.replace(«[«, » [«], которое, как я предполагаю, исправит проблему для квадратных скобок. Но тогда мне интересно, что, если в другом месте в БД есть строка с * и т.д.

Как другие справляются с этим? Могу ли я вызвать то, что сделает строку безопасной, экранируя все, возможно, незаконные символы, или это случай, когда они вручную заменяют их экранированными эквивалентами?

Спасибо, Саймон

Добрый день, товарищи, программисты, здесь я столкнулся с ошибкой. Вы видите, что мой поиск завершается сбоем, когда я ввожу случайные символы, например следующие:% ^ & * &%. Вот ошибка и код поиска, см. Ниже:

Ошибка сервера в приложении ‘/’

Ошибка в операторе Like: шаблон строки «% $% ^ $ & ^%» недействителен.

Описание: необработанное исключение произошло во время выполнения текущего веб-запроса. Просмотрите трассировку стека для получения дополнительных сведений об ошибке и ее происхождении в коде.

Сведения об исключении: System.Data.EvaluateException: ошибка в операторе Like: шаблон строки «% $% ^ $ & ^%» недействителен.

Ошибка источника:

Необработанное исключение было создано во время выполнения текущего веб-запроса. Информацию о происхождении и местонахождении исключения можно определить с помощью трассировки стека исключений ниже.

Трассировки стека:

И код такой:

 public static bool IsDate(Object obj)
        {
            string strDate = obj.ToString();
            try
            {
                DateTime dt = DateTime.Parse(strDate);
                if (dt != DateTime.MinValue && dt != DateTime.MaxValue)
                    return true;
                return false;
            }
            catch
            {
                return false;
            }
        }


 protected void BtnWinnersSearch_Click(object sender, EventArgs e)
        {

            string searchText = txtWinnersSearch.Text.Replace("'", "''").Trim();
            bool isDate = IsDate(searchText);

            GridViewWinners.Visible = true;

            if (isDate == true)
            {
                SqlDataSource4.FilterExpression = "dob" + " ='" + Convert.ToDateTime(searchText).ToString("yyyy-MM-dd") + "'";
            }
            else
            {
                SqlDataSource4.FilterExpression = "nickname like '%" + searchText + "%' or username like '%" + searchText +
                    "%' or clubnumber like '%" + searchText + "%' or firstname like '%" +
                    searchText + "%' or lastname like '%" + searchText +
                    "%' or email like '%" + searchText + "%'";
            }
        }

Прямо сейчас ваш код уязвим для атаки с использованием SQL-инъекции.