更新语句语法错误：SQL语句在Access可用但Visual Studio 2022运行报错

你的代码存在几个关键问题，导致在VS2022中执行时触发语法错误——即便语句在Access客户端能正常运行，OleDb驱动的SQL解析规则和Access原生环境有差异：

• 保留字未转义：password是Access的保留关键字，直接在SQL语句中使用会触发语法错误，必须用方括号包裹为[password]。
• 数据类型不匹配：Attempts和ID属于数值类型，你用单引号将其包裹为字符串格式，OleDb驱动无法正确解析这种类型不匹配的语句。
• 字符串拼接的单引号漏洞：如果输入内容包含单引号（比如用户名是O'Conner），拼接后的SQL语句会直接断裂，触发语法错误，同时还存在SQL注入风险。

正确的参数化查询写法 #

放弃字符串拼接，改用参数化查询，彻底解决上述问题：

sql = "Update tblUserAccount set username = ?, [password] = ?, AccessLevel = ?, Attempts = ?, AccountStatus = ? where ID = ?"
cmd = New OleDbCommand(sql, cn)
' 添加参数，注意顺序要和SQL语句中的问号一一对应
cmd.Parameters.AddWithValue("@username", txtUsername.Text)
cmd.Parameters.AddWithValue("@password", txtPassword.Text)
cmd.Parameters.AddWithValue("@accessLevel", cmbAccessLevel.Text)
cmd.Parameters.AddWithValue("@attempts", Integer.Parse(txtAttempts.Text)) ' 转换为数值类型
cmd.Parameters.AddWithValue("@accountStatus", cmbAccountStatus.Text)
cmd.Parameters.AddWithValue("@id", Integer.Parse(txtID.Text)) ' 转换为数值类型
cmd.ExecuteNonQuery()

补充说明 #

参数化查询不仅能避免语法错误，还能有效防止SQL注入攻击，是数据库操作的标准安全做法。如果一定要使用字符串拼接（不推荐），需要满足三个条件：

• 给所有Access保留字添加方括号
• 数值类型字段去掉单引号包裹
• 对输入内容中的单引号做转义处理（将'替换为''）

内容的提问来源于stack exchange，提问作者Fritz Baider