OleDbException 未处理....... UPDATE 语句中的语法错误

Question

我在调试时遇到该错误，请有人帮忙... 下面是代码：

 Private Sub UpdateToolStripMenuItem_Click(ByVal sender As System.Object, ByVal e As System.EventArgs) Handles UpdateToolStripMenuItem.Click
    If MsgBox("Save Changes?", MsgBoxStyle.Question + MsgBoxStyle.YesNo, "WARNING") = MsgBoxResult.Yes Then
        Dim oleDC As New OleDbCommand
        With oleDC
            .Connection = conn
            .CommandText = "UPDATE tblPatientsRecord SET Names='" & txtNames.Text & _
        "',Licensenumber='" & txtLicensenumber.Text & _
        "',Address='" & txtAddress.Text & _
        "',Fullname='" & txtFullname.Text & _
        "',Birthday='" & txtBase.Text &
        "',Age='" & txtAge.Text & _
        "',Country='" & cmbCountry.Text & "'  WHERE PatientID='" & txtPatientID.Text & "'"
            .ExecuteNonQuery()
            MsgBox("Record Updated!", MsgBoxStyle.Information + MsgBoxStyle.OkOnly, "SUCCESS")
            Disable()
            Clear()
            SaveToolStripMenuItem.Enabled = False
            NewToolStripMenuItem.Enabled = True
            LoadPatientsRecord()
            getLastPatientID()
        End With
    End If
End Sub

请帮忙

Answer 1

您应该使用 SQL 参数。这些不仅会简化您的代码，还会使某些类型的语法和数据类型错误极不太可能发生，并防止 SQL 注入攻击：

Dim sql = <sql> 
        UPDATE tblPatientsRecord SET [Names] = @p1,
                Licensenumber = @p2, 
                Address = @p3,
                Fullname = @p4,
                Birthday = @p5, 
                [Age] = @p6,
                Country = @p7
        WHERE PatientID = @p8
        </sql>.Value

Using conn = New OleDbConnection(myConnStr),
        cmd As New OleDbCommand(sql, conn)

    conn.Open()

    cmd.Parameters.Add("@p1", OleDbType.VarChar).Value = txtNames.Text
    cmd.Parameters.Add("@p2", OleDbType.VarChar).Value = txtLicensenumber.Text
    ' ...etc
    cmd.Parameters.Add("@p6", OleDbType.Integer).Value = intVar
    cmd.Parameters.Add("@p7", OleDbType.VarChar).Value = strVar

    'the last one is the WHERE
    cmd.Parameters.Add("@p8", OleDbType.VarChar).Value = Convert.ToInt32(lblPatientID.Text)

    cmd.ExecuteNonQuery()
    '... etc

End Using

还有其他一些常见的问题需要解决。

1. DBConnection 对象旨在被创建、使用和处置，而不是反复使用同一个对象。但是，您可以使用全局连接字符串，这样您就不会到处都有相同的连接字符串。

2. 许多DBObjects 应该被丢弃。 Using 块将关闭并处理连接和命令对象。通常，如果某些东西有 Dispose 方法，请将它们包装在 Using 块中。上面展示了如何将 2 个对象（OleDbConnection 和 OleDbCommand）“堆叠”到一个减少缩进的 Using 语句中。

3. 使用Add 方法而不是AddWithValue。这允许您为每个参数指定数据类型。没有它，DB Provider 必须猜测哪个会导致 Datatype mismatch 甚至在某些情况下损坏数据库。

4. WHERE 子句只是另一个参数。人们通常会在 SQL 的第一部分使用参数，但在 WHERE 子句中不必要地连接。

5. 上面还使用 XML 文字来构造 SQL。这对于长而复杂的 SQL 来说很方便，因为您可以根据需要对其进行格式化和缩进。您也可以只使用多行使其可读：

   Dim sql = "UPDATE tblPatientsRecord SET [Names] = @p1, " _ & "Licensenumber = @p2, " _ & "Address = @p3, "

6. 如果您在表或列名称中使用 SQL reserved words 或空格，则必须使用 [Square Brackets] 转义名称，如图所示。最好不要在名称中使用任何一个。 User、Password Names 和 Values 是常见的用作列名或表名的词，会导致 SQL 语法错误。

7. 记号并不是通用的 SQL 字段分隔符，它们实际上表明传递的值是字符串/文本：& "Age ='" & txtAge.Text & "'"。如果数据库设置为将Age 存储为数字，则您的SQL 会将其作为文本/字符串传递，这可能会导致data type mismatch。 PatientID 和 Birthday 如果是日期字段，也是如此。

   连接 SQL 语句的字符串的一个常见问题是结果中的记号太多或太少 (')。 SQL 参数不会发生这种情况。

SQL 参数的主要目的是防止在名称为“O'Brian”或“O'Reilly”或"Bobby';DROP TABLE tblPatientsRecord" 时出现错误

这些原则适用于其他数据库提供者，例如MySql、SQLite 和SQLServer。但是，确切的转义字符等细节会有所不同。

请注意，Access/OleDB 实际上并没有使用这样的命名参数（@FirstName 甚至@p2），因此经常会看到“？”形式的参数。这意味着您必须添加参数值 (Add/AddWithValue)以与这些列在 SQL 中出现的完全相同的顺序。

欲了解更多信息，请参阅：

• Using Statement
• Connection Pooling