如何在VB中使用SQL UPDATE语句？请协助排查我的代码问题

存在的核心问题 #

• 严重SQL注入漏洞：直接将用户输入（如TextBox1.Text）拼接进SQL语句，攻击者可通过输入特殊字符（如单引号）篡改SQL逻辑，甚至删除数据库数据。
• SQL语法错误：列名OFFICE STAFF包含空格，未用方括号[]包裹，数据库会将其解析为两个独立关键字，触发语法错误。
• 数据类型不匹配：AGE和ID通常为数值类型，但代码中用单引号将其值包裹为字符串，会引发类型转换异常。
• 资源泄漏风险：数据库连接con和命令对象cmd未使用Using语句管理，异常场景下可能无法正常关闭连接，导致连接池耗尽。
• 拼写错误：成功提示中的Suceessfully应为Successfully。
• 变量赋值风险：Gender变量未在代码中体现赋值逻辑（如从单选按钮RBMale/RBFemale取值），若未初始化会导致SQL语句缺失值。

修复后的代码 #

Private Sub Button3_Click(ByVal sender As System.Object, ByVal e As System.EventArgs) Handles Button3.Click
    ' 获取Gender值
    Dim genderValue As String = If(RBMale.Checked, "Male", If(RBFemale.Checked, "Female", ""))
    If String.IsNullOrEmpty(genderValue) Then
        MsgBox("请选择性别")
        Return
    End If

    ' 使用Using语句自动管理资源
    Using con As New SqlConnection("你的数据库连接字符串")
        con.Open()
        Using cmd As New SqlCommand("UPDATE emp_table SET FNAME = @FName, LNAME = @LName, AGE = @Age, GENDER = @Gender, [OFFICE STAFF] = @OfficeStaff WHERE ID = @ID", con)
            ' 添加参数，避免SQL注入并匹配数据类型
            cmd.Parameters.AddWithValue("@FName", TextBox1.Text)
            cmd.Parameters.AddWithValue("@LName", TextBox2.Text)
            ' 转换为数值类型，处理输入验证
            Dim age As Integer
            If Integer.TryParse(TextBox3.Text, age) Then
                cmd.Parameters.AddWithValue("@Age", age)
            Else
                MsgBox("年龄请输入有效数字")
                Return
            End If
            cmd.Parameters.AddWithValue("@Gender", genderValue)
            cmd.Parameters.AddWithValue("@OfficeStaff", ComboBox1.Text)
            ' 处理ID的数值转换
            Dim id As Integer
            If Integer.TryParse(TxtID.Text, id) Then
                cmd.Parameters.AddWithValue("@ID", id)
            Else
                MsgBox("ID请输入有效数字")
                Return
            End If

            Try
                cmd.ExecuteNonQuery()
                MsgBox("Successfully Updated Record")
                ' 清空控件
                TxtID.Clear()
                TextBox1.Clear()
                TextBox2.Clear()
                TextBox3.Clear()
                RBMale.Checked = False
                RBFemale.Checked = False
                ComboBox1.Text = ""
            Catch ex As Exception
                MsgBox($"更新失败：{ex.Message}")
            End Try
        End Using
    End Using
End Sub

关键修复说明 #

• 参数化查询：用@参数名替代直接拼接输入，彻底杜绝SQL注入，同时自动处理数据类型匹配。
• 带空格列名处理：用[OFFICE STAFF]包裹列名，避免语法错误。
• 资源管理：Using语句会自动释放连接和命令对象，无需手动调用Close()，避免资源泄漏。
• 输入验证：对AGE和ID添加数值转换验证，防止非法输入导致的异常。
• 性别取值逻辑：明确从单选按钮获取Gender值，避免未初始化的变量问题。

内容的提问来源于stack exchange，提问作者Hinata