VB.NET执行cmd.ExecuteNonQuery()时提示'NO'附近语法错误求助

报错原因 #

• 字段名包含空格未转义：你定义的PHONE NO字段名中间带空格，SQL语法会把PHONE识别为字段名，后面的NO会被判定为非法关键字，这是触发“Incorrect syntax near 'NO'”报错的直接原因。
• 字符串值未加单引号包裹：FIRSTNAME、LASTNAME、PHONE NO均为字符串类型字段，直接拼接输入内容没有加单引号，即使解决空格问题也会触发语法错误。
• UPDATE语法存在多余逗号：PHONE NO=...后面多了一个逗号，也会导致SQL语法校验失败。
• 执行逻辑顺序错误：代码先调用cmd.ExecuteNonQuery()再给cmd赋值Connection属性，虽然不是当前语法报错的直接诱因，但也会导致后续执行异常。

修复方案 #

推荐使用参数化查询替代字符串拼接，既可以解决语法问题，也能彻底避免SQL注入风险，修复后代码如下：

Private Sub Button2_Click(sender As Object, e As EventArgs) Handles Button2.Click
  If con.State = ConnectionState.Open Then
    con.Close()
  End If

  con.Open()
  cmd = con.CreateCommand()
  cmd.CommandType = CommandType.Text
  ' 带空格的字段用[]包裹，删除多余逗号，使用参数占位
  cmd.CommandText = "update Tabledb set FIRSTNAME=@FirstName,LASTNAME=@LastName,[PHONE NO]=@Phone where Id =@Id"
  ' 传入参数值，自动处理类型、引号转义问题
  cmd.Parameters.AddWithValue("@FirstName", TextBox1.Text)
  cmd.Parameters.AddWithValue("@LastName", TextBox2.Text)
  cmd.Parameters.AddWithValue("@Phone", TextBox3.Text)
  cmd.Parameters.AddWithValue("@Id", i)
  cmd.ExecuteNonQuery()
  disp_data()
  ' 执行完成后关闭连接释放资源
  con.Close()
End Sub

本次修复调整点如下：

• 带空格的字段名用方括号[]包裹，符合SQL语法规范
• 删除了[PHONE NO]=@Phone后面多余的逗号
• 替换字符串拼接为参数化查询，自动处理字符串引号、特殊字符转义问题
• 移除了错误位置的cmd.Connection = con代码，con.CreateCommand()生成的命令对象已经自动绑定当前连接
• 补充了执行完成后关闭数据库连接的逻辑，避免连接资源泄漏

内容的提问来源于stack exchange，提问作者Lykia Pradilla