VB.NET操作MySQL报无效查询语法错误 无法读取数据库数据

• SQL预编译参数仅支持传入值类型数据（字符串、数字、日期等），不支持替换表名、列名、关键字这类SQL语法标识符。你用@tabNam占位符传递表名时，MySQL会把传入的表名内容当成普通字符串值处理，最终生成的SQL等价于SELECT 字段列表 FROM '传入的表名'，表名被包裹上单引号属于非法语法，直接触发报错。
• 代码初始化MySqlDataAdapter时传入的是原始带占位符的sqlComm.CommandText字符串，而非构造好参数的sqlComm对象，即便参数逻辑正确，适配器也无法读取到你绑定的参数值。
• 数据库连接、命令、适配器对象未做资源释放处理，异常场景下连接不会被主动关闭，很容易耗尽数据库连接池。
• 异步实现不规范：使用Async Sub编写非事件类异步方法会导致异常无法被正常捕获，且调用同步的Fill方法会阻塞UI线程，没有真正实现异步非阻塞。
• 存在SQL注入风险：如果直接拼接用户可控的内容到SQL语句中，没有校验的话攻击者可以构造恶意输入执行任意SQL语句。

• 表名不通过参数传递，先做严格白名单校验，确认传入的表名属于允许访问的范围后，再直接拼接到SQL语句中，拼接时用反引号`包裹表名，避免表名为MySQL保留字时触发语法错误。
• 初始化MySqlDataAdapter时直接传入绑定好的MySqlCommand对象，保证参数能被正常识别。
• 所有数据库相关对象（连接、命令、适配器）都用Using块声明，离开代码块时会自动释放资源，不需要手动调用关闭方法。
• 将异步方法改为返回Task的标准异步签名，用FillAsync替代同步的Fill方法，实现真正的异步执行。
• 不要使用全局共享的数据库连接对象，每次执行查询时新建连接，依赖ADO.NET内置的连接池管理连接，避免连接状态异常。

' 提前配置允许查询的表名白名单，所有不在白名单内的表名访问请求直接拦截，避免SQL注入
Private ReadOnly _allowedTables As New HashSet(Of String)(StringComparer.OrdinalIgnoreCase) From {
    "替换为你实际允许访问的表名1",
    "替换为你实际允许访问的表名2"
    ' 将companyTagLab中可能出现的所有合法表名都加入这个集合
}

Private Async Function connDatabase() As Task
    searchDrop.Text = String.Empty
    searchValue.Text = String.Empty

    Dim sqlText As String = String.Empty
    Select Case tableTypeLabel.Text
        Case "pis"
            Dim targetTable = companyTagLab.Text.Trim()
            ' 白名单校验
            If Not _allowedTables.Contains(targetTable) Then
                MessageBox.Show("非法的查询目标")
                Return
            End If
            ' 校验通过后拼接表名，用反引号包裹避免保留字冲突
            sqlText = $"SELECT CAASN, First_Name, Middle_Name, Last_Name, Occupation, Platoon, CAA_Company, Status FROM `{targetTable}`;"
        Case "dlt"
            MessageBox.Show("Info not available")
            Me.Close()
            Return
        Case Else
            MessageBox.Show("无效的表类型")
            Return
    End Select

    dataTab.Rows.Clear()
    dataTab.Columns.Clear()
    Try
        ' Using块包裹所有数据库对象，出作用域自动释放资源
        Using conn As New MySqlConnection("替换为你的数据库连接字符串"),
              cmd As New MySqlCommand(sqlText, conn),
              adapter As New MySqlDataAdapter(cmd)
            Await conn.OpenAsync()
            cmd.CommandType = CommandType.Text
            ' 执行异步查询
            Dim rowCount As Integer = Await adapter.FillAsync(dataTab)

            If rowCount > 0 Then
                listFilt.DataSource = dataTab
                listView.DataSource = Nothing
                listView.Rows.Clear()
                listView.Columns.Clear()
                listView.DataSource = listFilt
            Else
                MessageBox.Show("Data not available!")
            End If
        End Using
        dataTab = Nothing
    Catch ex As Exception
        MessageBox.Show(ex.Message)
        Console.WriteLine(ex.Message)
    End Try
End Function

注意：如果是按钮点击这类事件触发查询，事件方法本身可以用Async Sub，在事件方法内Await这个返回Task的connDatabase方法即可。

内容的提问来源于stack exchange，提问作者eckirion