如何使用参数化SQL插入记录？SQL Server字符串拼接插入异常排查

嘿，我来帮你搞定这两个SQL插入的问题，先从更安全可靠的参数化SQL说起，再分析你字符串拼接代码的问题~

一、如何用参数化SQL实现记录插入？ #

参数化SQL现在是业界推荐的标准写法，好处太多了：彻底杜绝SQL注入风险，解决字符串拼接带来的特殊字符、日期格式兼容问题，还能让数据库缓存执行计划提升性能。

给你写个适配SQL Server的VB.NET示例，完全对应你要插入的字段：

conn.Open()
Dim cmd As SqlCommand = conn.CreateCommand
' 用@开头的占位符表示参数，这是SQL Server的规范
cmd.CommandText = "INSERT INTO LimoDatabase(Product_Number, Product_Description, Scan_Date, Employee_Id, Serial_Number, PCno) 
                   VALUES(@ProdNum, @ProdDscrp, @ScanDate, @EmpId, @SerialNum, @PCno)"

' 逐个添加参数，最好指定参数类型（更严谨，避免隐式转换问题）
cmd.Parameters.Add("@ProdNum", SqlDbType.VarChar).Value = txtProdNum.Text
cmd.Parameters.Add("@ProdDscrp", SqlDbType.VarChar).Value = txtProdDscrp.Text
' 如果Scan_Date是日期类型字段，直接传DateTime对象，别传字符串
cmd.Parameters.Add("@ScanDate", SqlDbType.DateTime).Value = DateTime.Parse(txtScanDate.Text)
' 建议用TryParse做校验，避免用户输入无效日期：
' If DateTime.TryParse(txtScanDate.Text, scanDate) Then
'     cmd.Parameters.Add("@ScanDate", SqlDbType.DateTime).Value = scanDate
' Else
'     ' 提示用户输入正确日期
' End If
cmd.Parameters.Add("@EmpId", SqlDbType.VarChar).Value = txtEmpId.Text
cmd.Parameters.Add("@SerialNum", SqlDbType.VarChar).Value = txtSerialNum.Text
cmd.Parameters.Add("@PCno", SqlDbType.VarChar).Value = cmb_PCno.Text

Dim AffectedRows As Integer = cmd.ExecuteNonQuery()
If AffectedRows > 0 Then
    loaddata()
    txtSerialNum.Text = ""
    counter = counter + 1
    lblCounter.Text = counter.ToString()
End If
conn.Close()

二、字符串拼接插入的问题分析与修复 #

你说部分客户端能查询但不能插入，这个问题几乎可以肯定是字符串拼接导致的SQL语法错误，常见诱因有这两个：

• 输入含特殊字符：比如产品描述是O'Neil，拼接后SQL里会变成'O'Neil'，单引号直接把SQL语句拆坏了，执行时就会抛出异常。
• 日期格式不兼容：不同客户端的系统区域设置不一样，比如有的用MM/dd/yyyy，有的用dd/MM/yyyy，拼接成字符串后，数据库解析日期时会搞混（比如05/10/2024到底是5月10日还是10月5日？），导致插入失败。
• 顺带提一句，字符串拼接还有严重的SQL注入风险，万一有人恶意输入，可能直接篡改或删除你的数据，这个必须重视。

彻底解决办法：换成参数化SQL #

上面第一部分的代码就是现成的修复方案，把字符串拼接改成参数化写法，既能解决你遇到的客户端兼容性问题，又能堵住安全漏洞。

如果只是临时排查问题，你可以在出错的客户端上，把拼接后的SQL语句弹出来看看（比如加一行MsgBox(cmd.CommandText)），就能直观看到哪里出了语法错误，但这只是临时手段，最终一定要换成参数化写法才是正道。

内容的提问来源于stack exchange，提问作者Bonito