TSQL 查询可以使用访问表单中的值吗？

Question

我正在开发一个 Access DB，它具有 ODBC 链接的 SQL Server 表，并且我有以下脚本来运行 TSQL 查询，如您所见，我尝试在查询中包含 Access Forms 中的值，但它未能跑。当我执行脚本时，表单被打开并填充了数据。我想知道这是不可能的还是有另一种方法？我是 TSQL 和 SQL 服务器的新手，这是我的问题。欣赏是否有人可以提供帮助。非常感谢。

Function formtest()
Dim qryd As QueryDef
Set qryd = CurrentDb.CreateQueryDef("")
qryd.Connect = "ODBC;DSN=SQLSERVER;"
qryd.SQL = "UPDATE dbo.table1 SET firstname = [Forms]![testform]![datainput]"
qryd.ReturnsRecords = False
qryd.Execute
End Function

Answer 1

SQL Server 对您的表单一无所知。您必须使用查询发送数据。像这样的：

qryd.SQL = "UPDATE dbo.table1 SET firstname =  '" & [Forms]![testform]![datainput] & "'"

您必须注意的一件事是，如果您的 datainput 中有任何单引号，则可能会使 SQL 无效。这也可能是一个安全问题。要么测试单引号并引发错误，要么将它们中的每一个替换为两个。

最好的方法是使用参数化查询。这绝对可以防止 SQL 注入问题，并且在许多情况下也有助于提高性能。不幸的是，我不相信您可以使用 DAO 为 SQL Server 创建参数化查询。您必须转换为 ADO，它最适合向 Jet 以外的 SQL 引擎发送查询。

要使用 ADO，您可能必须通过打开 VBA 代码窗口并选择工具 -> 引用 -> 并选中旁边的框来添加对 Microsoft ActiveX 数据对象的引用。然后您的代码将如下所示：

Dim Conn1 As ADODB.Connection
Dim Cmd1 As ADODB.Command
Dim Param1 As ADODB.Parameter

Rem Create and Open Connection Object.
Set Conn1 = New ADODB.Connection
Conn1.ConnectionString = "ODBC;DSN=SQLSERVER;"
Conn1.Open

Rem  Create Command Object.
Set Cmd1 = New ADODB.Command
Cmd1.ActiveConnection = Conn1
Cmd1.CommandText = "UPDATE dbo.table1 SET firstname = ?"

Rem  Create Parameter Object.
Set Param1 = Cmd1.CreateParameter(, adVarChar, adParamInput, 25)
Param1.Value = [Forms]![testform]![datainput]
Cmd1.Parameters.Append Param1
Set Param1 = Nothing

Rem  Open Recordset Object.
Call Cmd1.Execute