ASP访问Access数据库：查询字符串为文本类型时SQL搜索报错的问题咨询

这个问题我之前帮不少开发者解决过——本质是你忽略了Access SQL里文本类型值的语法要求，导致数据库把你的查询值当成了未定义的参数，才抛出那个80040e10错误。

错误原因分析 #

当查询数字类型字段（比如ProductID）时，SQL里直接写数字不需要引号，Access能直接识别为数值常量；但查询文本类型字段（比如ProductName）时，必须用单引号把查询值包裹起来。如果不加单引号，Access会把这个字符串当成一个参数名称，而不是实际的查询值，它会等着你传入这个参数的值，但你并没有提供，所以就会报“参数不足，预期2个”的错误。

快速修复：给文本值添加单引号并转义 #

直接修改你的代码，给文本查询值加上单引号，同时注意转义输入里的单引号（避免破坏SQL语法）：

If Len(Request.QueryString("ProductName")) <> 0 Then 
    ' 先转义输入中的单引号，Access用双单引号表示转义
    Dim productName
    productName = Replace(Request.QueryString("ProductName"), "'", "''")
    ' 给文本值包裹单引号
    strSQL = "SELECT * FROM Products WHERE ProductName='" & productName & "'"
    rst.Open strSQL, conn, 0, 1
End If

更安全的方案：使用参数化查询 #

虽然上面的修复能解决问题，但直接拼接QueryString到SQL语句里存在SQL注入风险（哪怕是Access数据库也可能被恶意利用）。推荐使用ADODB.Command对象做参数化查询，既安全又不用手动处理转义：

If Len(Request.QueryString("ProductName")) <> 0 Then 
    Set cmd = Server.CreateObject("ADODB.Command")
    cmd.ActiveConnection = conn
    ' 用?作为参数占位符
    cmd.CommandText = "SELECT * FROM Products WHERE ProductName=?"
    ' 添加参数：类型200代表文本，长度50对应你ProductName字段的实际长度（按需调整）
    cmd.Parameters.Append cmd.CreateParameter("ProductName", 200, 1, 50, Request.QueryString("ProductName"))
    ' 执行查询并获取结果集
    Set rst = cmd.Execute
End If

参数化查询会自动处理值的类型和转义，彻底避免SQL注入问题，是更规范的数据库操作方式。

内容的提问来源于stack exchange，提问作者Sum