如何用Visual Basic编辑Access数据库记录 解决更新操作报错问题

现有代码存在3个核心问题，按优先级排序如下：

• SQL语句语法错误：拼接的更新语句没有闭合字符串的单引号，且缺少筛选指定记录的WHERE条件，直接执行要么直接报语法错误，要么会篡改全表所有闪卡的difficulty字段
• 通用SQL执行模块适配性问题：现有runSQL方法仅针对查询类语句设计，执行UPDATE/INSERT/DELETE这类非查询操作时没有返回执行状态，逻辑不合理
• 存在SQL注入风险：直接拼接用户输入的文本到SQL语句，若用户输入包含单引号、特殊SQL片段会直接报错甚至被注入攻击

完整修复方案 #

第一步：改造通用SQL执行模块，新增非查询操作方法并支持参数化 #

Module Module1
    ' 原查询方法保留，用于获取数据，新增参数支持
    Public Function runSQL(ByVal query As String, Optional ByVal parameters As List(Of OleDb.OleDbParameter) = Nothing) As DataTable
        Dim connection As New OleDb.OleDbConnection("provider=microsoft.ACE.OLEDB.12.0;Data Source=flashcard login.accdb")
        Dim dt As New DataTable
        Try
            connection.Open()
            Dim cmd As New OleDb.OleDbCommand(query, connection)
            ' 追加参数
            If parameters IsNot Nothing Then
                cmd.Parameters.AddRange(parameters.ToArray())
            End If
            Dim dataadapter As New OleDb.OleDbDataAdapter(cmd)
            dataadapter.Fill(dt)
        Catch ex As Exception
            ' 可自行添加异常日志逻辑
            Throw ex
        Finally
            If connection.State = ConnectionState.Open Then
                connection.Close()
            End If
        End Try
        Return dt
    End Function

    ' 新增非查询操作方法，用于执行UPDATE/INSERT/DELETE，返回受影响行数
    Public Function executeNonQuery(ByVal query As String, Optional ByVal parameters As List(Of OleDb.OleDbParameter) = Nothing) As Integer
        Dim connection As New OleDb.OleDbConnection("provider=microsoft.ACE.OLEDB.12.0;Data Source=flashcard login.accdb")
        Dim affectedRows As Integer = 0
        Try
            connection.Open()
            Dim cmd As New OleDb.OleDbCommand(query, connection)
            If parameters IsNot Nothing Then
                cmd.Parameters.AddRange(parameters.ToArray())
            End If
            affectedRows = cmd.ExecuteNonQuery()
        Catch ex As Exception
            Throw ex
        Finally
            If connection.State = ConnectionState.Open Then
                connection.Close()
            End If
        End Try
        Return affectedRows
    End Function
End Module

第二步：修改提交按钮点击逻辑 #

注意：代码中的currentCardId为要修改的闪卡唯一标识，请根据你的业务逻辑替换为实际取值，比如从选中的闪卡列表行、全局变量中获取。

Private Sub btnSubmit_Click(sender As Object, e As EventArgs) Handles btnSubmit.Click
    ' 输入合法性校验，可根据业务调整校验规则，比如难度仅限1-5的数字
    If String.IsNullOrWhiteSpace(TxtDifficulty.Text) Then
        MessageBox.Show("请输入难度值")
        Return
    End If

    ' 构造带参数占位符的SQL语句
    Dim sql As String = "UPDATE flashcards SET difficulty = @difficulty WHERE id = @cardId"
    ' 准备参数，自动处理类型和转义，避免注入和语法错误
    Dim params As New List(Of OleDb.OleDbParameter)
    params.Add(New OleDb.OleDbParameter("@difficulty", TxtDifficulty.Text))
    params.Add(New OleDb.OleDbParameter("@cardId", currentCardId)) '替换为实际要修改的闪卡ID

    ' 执行更新
    Dim result As Integer = executeNonQuery(sql, params)
    If result > 0 Then
        MessageBox.Show("难度修改成功")
    Else
        MessageBox.Show("未找到对应闪卡，修改失败")
    End If
End Sub

临时快速修复方案（不推荐，仅用于临时验证） #

如果暂时不想改造封装模块，只修复语法错误和加筛选条件，可以直接修改按钮代码如下，注意存在SQL注入风险，用户输入含单引号时会报错：

Private Sub btnSubmit_Click(sender As Object, e As EventArgs) Handles btnSubmit.Click
    ' 注意将WHERE后的条件替换为你要修改的闪卡的筛选规则，比如id=10
    Dim sql As String = "UPDATE flashcards set difficulty = '" & TxtDifficulty.Text & "' WHERE 你的筛选条件"
    runSQL(sql)
End Sub

内容的提问来源于stack exchange，提问作者Idk