这个 VB/SQL 查询有什么问题

Question

这是我在调试时收到的错误。

{"Syntax error in string in query expression ''Laptop);'."}

这是我没有正常工作的 SQL 语句。无论我做什么，它似乎都会添加一个随机的 .在声明的末尾，我不知道它为什么这样做。

Sql = "INSERT INTO Devices ( [Asset Number], [Service Tag], Manufacturer, ModelName, Location, Room, Cart, [Purchase Date], Department, [Device Type] ) VALUES('" & AssetNum & "','" & ServTag & "','" & Manu & "','" & Model & "','" & Location & "','" & Room & "','" & Cart & "','" & PurchDate & "','" & Department & "','" & DeviceType & ");"

这是我所做的声明，效果很好。这只是一个长字符串值。我需要上面的变量工作的原因是因为它们链接到文本框，因此用户可以输入数据。

Sql = "INSERT INTO Devices ( [Asset Number], [Service Tag], Manufacturer, ModelName, Location, Room, Cart, [Purchase Date], Department, [Device Type] )VALUES (10, 1234, 'Dell', 'Latitude E6410', 'John McIntire', 100, 0, '5/17/2015', 'Technology', 'Laptop');"

所以是的，基本上我被卡住了，无法弄清楚为什么第一个查询不起作用。我已经坚持了一段时间了，真的需要一些帮助。

这就是我执行查询的方式。

cmd = New OleDb.OleDbCommand(Sql)
        cmd.Connection = dbConn
        cmd.ExecuteNonQuery()

Answer 1

您在末尾缺少一个单引号来关闭 DeviceType 之前的单引号：

"','" & DeviceType & ");"

添加它，它应该可以解决您的问题：

"','" & DeviceType & "');"

无论如何，您目前拥有的东西很容易受到 SQL 注入的攻击，parameterizing 您的查询确实是您应该解决此问题的方法。

Answer 2

您在查询中的最后一个字段缺少尾随单引号，但仅添加引号确实是解决此问题的错误方法。你应该这样做：

Sql = "INSERT INTO Devices (" &
         "[Asset Number], [Service Tag], Manufacturer, ModelName, Location, Room, Cart, [Purchase Date], Department, [Device Type]" &
         ") VALUES ( ?, ?, ?, ?, ?, ?, ?, ?, ?, ?);"

Using cmd AS New OleDb.OleDbCommand(Sql, dbConn)
    'Have to guess at column types/lengths here. Use actual types/lengths from your DB
    cmd.Parameters.Add("@AssetNum", OleDbType.VarChar, 10).Value = AssetNum
    cmd.Parameters.Add("@ServTag", OleDbType.VarChar, 10).Value = ServTag
    cmd.Parameters.Add("@Manu", OleDbType.VarWChar, 20).Value = Manu
    cmd.Parameters.Add("@Model", OleDbType.VarWChar, 30).Value = Model
    cmd.Parameters.Add("@Location", OleDbType.VarWChar, 50).Value = Location
    cmd.Parameters.Add("@Room", OleDbType.Integer).Value = Room
    cmd.Parameters.Add("@Cart", OleDbType.Integer).Value = Cart
    cmd.Parameters.Add("@PurchDate", OleDbType.Date).Value = PurchDate
    cmd.Parameters.Add("@Department", OleDbType.VarWChar, 20).Value = Department
    cmd.Parameters.Add("@DeviceType", OleDbType.VarChar, 20).Value = DeviceType

     cmd.ExecuteNonQuery()
End Using

这为您做了四件事：

1. 它不仅解决了这个问题的引用问题，而且更容易为您将来编写的所有查询获取正确的引用。
2. 它会自动处理可能包含撇号的品牌、型号和位置等字段的数据。
3. 它修复了查询格式日期的问题。例如，您可以将 VB.Net DateTime 对象直接分配给 PurchDate 查询参数，而无需关心格式。
4. 它填补了现有代码中的一个巨大安全漏洞。