VB.NET结合MS Access：能否用变量替代硬编码表名执行INSERT语句？

完全可以实现这个需求，但需要注意表名无法通过参数化查询处理（参数化仅支持字段值，不支持表、字段这类数据库对象名），所以需要通过字符串拼接生成SQL语句，同时必须做好安全校验避免风险。

实现步骤示例： #

1. 获取ComboBox选中的表名存入变量
   先确保ComboBox的选项是预先定义的合法表名（禁止用户手动输入未知内容），然后获取选中项：

Dim currentTable As String = ComboBox1.SelectedItem.ToString()

2. 拼接INSERT语句（字段值仍用参数化）
   只拼接表名部分，字段值必须用参数化来防止SQL注入：

' 假设表中有name和age两个字段，根据实际情况修改
Dim insertSql As String = $"INSERT INTO {currentTable} (name, age) VALUES (@name, @age)"

3. 执行SQL语句
   使用OleDb连接Access并执行：

' 替换为你的Access数据库连接字符串
Dim connStr As String = "Provider=Microsoft.ACE.OLEDB.12.0;Data Source=C:\YourDatabase.accdb;"
Using conn As New OleDbConnection(connStr)
    conn.Open()
    Using cmd As New OleDbCommand(insertSql, conn)
        ' 添加参数并赋值
        cmd.Parameters.AddWithValue("@name", txtName.Text)
        cmd.Parameters.AddWithValue("@age", txtAge.Text)
        ' 执行插入操作
        cmd.ExecuteNonQuery()
        MessageBox.Show("数据插入成功")
    End Using
End Using

关键安全提醒： #

• 绝对不能直接使用用户输入的任意字符串作为表名，必须限制可选范围：
  • 方式一：仅将Access中存在的合法表名加载到ComboBox，用户只能选择，不能手动输入
  • 方式二：在代码中校验表名是否在预定义的合法列表内，示例：

    ' 预定义允许使用的表名
    Dim validTables As New List(Of String) From {"studentTable", "teacherTable", "classTable"}
    If Not validTables.Contains(currentTable) Then
        MessageBox.Show("请选择有效的表名")
        Return
    End If
    

• 表名拼接是唯一无法参数化的部分，若不做校验，恶意输入可能导致SQL注入，破坏数据库或泄露数据。

内容的提问来源于stack exchange，提问作者Kylo Ben