如何在C# Access更新查询中传入文本框的路径值？

你碰到的这个问题很常见——直接把文本框内容硬拼进SQL语句里，要么因为内容里有单引号导致语法错误，要么存在安全风险。下面给你两种可行的解决方案，优先推荐参数化查询的方式：

方法一：使用参数化查询（推荐，安全且可靠） #

参数化查询是处理这类数据库操作的最佳实践，它会自动帮你处理特殊字符（比如单引号），还能避免SQL注入攻击。代码示例如下：

// 先获取文本框里的内容，这里假设你的文本框叫txtValue
string newSettingValue = txtValue.Text.Trim();

// 编写带参数占位符的SQL语句，@NewValue就是我们要替换的参数
string updateCmd = "UPDATE svo_Settings SET [Value] = @NewValue WHERE [Name] = 'OS'";

// 使用using语句确保数据库资源自动释放
using (OleDbConnection conn = new OleDbConnection("你的Access数据库连接字符串"))
{
    conn.Open();
    using (OleDbCommand cmd = new OleDbCommand(updateCmd, conn))
    {
        // 给参数赋值，Access会自动处理转义
        cmd.Parameters.AddWithValue("@NewValue", newSettingValue);
        
        // 执行更新操作，返回受影响的行数
        int updatedRows = cmd.ExecuteNonQuery();
        
        // 可以在这里加个判断，比如如果updatedRows>0就提示更新成功
    }
}

为什么推荐参数化？ #

• 自动处理文本中的单引号（比如内容是O'Conner时，直接拼接会报错，参数化会自动转成O''Conner适配Access的语法）
• 从根本上避免SQL注入风险，不会被恶意输入破坏数据库
• 代码结构更清晰，后期维护更方便

方法二：手动转义字符串（仅应急使用，不推荐） #

如果你暂时不想改参数化，也可以手动把文本内容里的单引号替换成两个单引号（Access里用两个单引号表示一个转义的单引号），再拼进SQL：

string newSettingValue = txtValue.Text.Trim().Replace("'", "''");
string strcmd = $"UPDATE svo_Settings SET [Value] = '{newSettingValue}' WHERE [Name] = 'OS'";

// 后续执行命令的代码和你原来的逻辑一致

⚠️ 注意：这种方法虽然能解决语法问题，但存在SQL注入风险，而且如果文本里有其他特殊字符可能还是会出问题，所以只建议临时应急用。

最后再提个小细节：你的SQL里用[]包裹字段名的做法是对的，因为Value和Name都是Access的保留字，用方括号可以避免语法冲突。

内容的提问来源于stack exchange，提问作者Խաչատուր Մելքոնյան