如何在Microsoft Access各场景下使用VBA参数优化动态SQL？

嘿，我太懂你这种处境了——维护一个满是字符串拼接SQL的老Access应用，既要处理像Jack O'Connel这种带单引号的名字，又得防SQL注入，简直是两头操心。下面针对你提到的四个场景，我给你整理了具体的参数化实现方法，一步步来：

DoCmd.RunSQL本身不直接支持参数传递，所以我们可以用DAO的QueryDef来实现参数化执行，既解决单引号问题，又彻底规避注入风险：

Dim qdf As DAO.QueryDef
' 创建临时查询定义，用[pName]、[pDept]作为参数占位符
Set qdf = CurrentDb.CreateQueryDef("", "INSERT INTO Employees (Name, Department) VALUES ([pName], [pDept])")
' 给参数赋值，不用管单引号转义
qdf.Parameters("[pName]") = "Jack O'Connel"
qdf.Parameters("[pDept]") = "Sales"
' 执行查询，dbFailOnError会在出错时抛出提示
qdf.Execute dbFailOnError
Set qdf = Nothing

如果是重复使用的SQL，也可以把参数化查询保存为Access的查询对象，后续直接调用更方便。

用QueryDef定义带参数的SQL，再打开记录集，比拼接字符串安全太多：

Dim qdf As DAO.QueryDef
Dim rs As DAO.Recordset
Set qdf = CurrentDb.CreateQueryDef("", "SELECT * FROM Employees WHERE Department = [pDept]")
qdf.Parameters("[pDept]") = "Sales"
' 打开动态集类型的记录集，支持编辑
Set rs = qdf.OpenRecordset(dbOpenDynaset)
' 遍历处理记录
Do While Not rs.EOF
    Debug.Print "员工姓名：" & rs!Name
    rs.MoveNext
Loop
' 记得关闭释放资源
rs.Close
Set rs = Nothing
Set qdf = Nothing

ADODB需要用Command对象来管理参数，占位符用?，注意参数顺序要和SQL中的问号一一对应：

Dim conn As ADODB.Connection
Dim cmd As ADODB.Command
Dim rs As ADODB.Recordset
Set conn = CurrentProject.Connection
Set cmd = New ADODB.Command
cmd.ActiveConnection = conn
' 用?作为参数占位符
cmd.CommandText = "SELECT * FROM Employees WHERE Name = ?"
' 添加参数：参数名、数据类型、输入类型、长度、值
cmd.Parameters.Append cmd.CreateParameter("pName", adVarWChar, adParamInput, 50, "Jack O'Connel")
' 执行并获取记录集
Set rs = cmd.Execute
' 处理记录
Do While Not rs.EOF
    Debug.Print "所属部门：" & rs!Department
    rs.MoveNext
Loop
rs.Close
Set rs = Nothing
Set cmd = Nothing
Set conn = Nothing

不用拼接WhereCondition字符串，推荐用参数化查询作为记录源，或者通过OpenArgs传递参数后动态绑定：

方式一：通过OpenArgs传递参数，窗体加载时绑定参数化记录集 #

' 打开窗体时传递参数
DoCmd.OpenForm "frmEmployees", OpenArgs:="Sales"

然后在窗体的Form_Load事件中：

Private Sub Form_Load()
    If Not IsNull(Me.OpenArgs) Then
        Dim qdf As DAO.QueryDef
        Set qdf = CurrentDb.CreateQueryDef("", "SELECT * FROM Employees WHERE Department = [pDept]")
        qdf.Parameters("[pDept]") = Me.OpenArgs
        ' 直接把参数化记录集绑定到窗体
        Me.Recordset = qdf.OpenRecordset(dbOpenDynaset)
        Set qdf = Nothing
    End If
End Sub

方式二：用预定义的参数化查询作为窗体/报表记录源 #

先在Access中创建一个参数化查询（比如qryEmployeesByDept），SQL为：

SELECT * FROM Employees WHERE Department = [pDepartment]

然后打开窗体时设置参数：

Dim qdf As DAO.QueryDef
Set qdf = CurrentDb.QueryDefs("qryEmployeesByDept")
qdf.Parameters("[pDepartment]") = "Sales"
' 打开窗体，直接使用这个参数化查询作为记录源
DoCmd.OpenForm "frmEmployees", RecordSource:=qdf.SQL
Set qdf = Nothing

报表的参数化逻辑和窗体完全一致，同样可以在Report_Open事件中设置参数或绑定记录集。

总的来说，核心思路就是彻底放弃直接拼接字符串到SQL语句中，通过QueryDef（DAO）或Command（ADODB）来管理参数，这样既能完美处理带特殊字符的文本，又能从根源上防范SQL注入，后续维护也会轻松很多。

内容的提问来源于stack exchange，提问作者Erik A