VB查询参数化问题：占位符@st/@sn显示为字符串字面量而非传入值

你看到的CommandText里保留@st、@sn占位符是正常现象，这正是参数化查询的工作机制：SQL命令文本和参数值是分开传递给数据库的，占位符不会被直接替换成实际值写入命令字符串，这样能从根源避免SQL注入风险，同时提升查询复用效率。

验证参数是否真正生效的方法： #

• 直接查看数据库中myTable表，找到serial_number匹配传入serial_Num的记录，检查Status字段是否被更新为传入的值
• 用数据库自带的监控工具追踪实际执行语句：比如SQL Server用SQL Server Profiler，MySQL开启General Log，这些工具能捕捉到数据库实际处理的完整执行逻辑（包含绑定的参数值）

可能的排查点： #

• 确认DBConnect()返回的数据库操作类中，AddParameter方法是否正确将参数添加到了命令的Parameters集合中，而不是做简单的字符串替换
• 检查Execute方法是否正确执行了带参数的命令对象，而非直接执行原始的CommandText字符串

代码优化建议： #

可以添加异常捕获与更新行数验证，更精准判断执行结果：

Protected Function UpdateDeviceStatus(serial_Num As String, Site As String, Status As String) As Boolean
    Try
        Using db = DBConnect()
            db.CommandText = "UPDATE myTable SET Status = @st WHERE serial_number = @sn"
            db.AddParameter("@st", Status)
            db.AddParameter("@sn", serial_Num)
            ' 假设DB类提供返回影响行数的方法，验证是否有记录被更新
            Dim affectedRows = db.ExecuteNonQuery()
            Return affectedRows > 0
        End Using
    Catch ex As Exception
        Windows.Forms.MessageBox.Show($"更新失败：{ex.Message}")
        Return False
    End Try
End Function

内容的提问来源于stack exchange，提问作者Alexander The Great