获取最大值数据库查询报错求助：VB.NET代码执行异常

我来帮你梳理下这段代码里的问题，以及怎么修复：

首先，你的代码里存在几个关键问题，导致了报错：

• 重复执行命令且资源释放不严谨：你先调用了ExecuteReader()，即便尝试关闭DataReader，但如果dr.Read()为false，DataReader就没被关闭；紧接着又调用ExecuteScalar()重复执行命令，容易造成连接资源占用或冲突。
• 未处理无匹配结果的情况：当WHERE条件没匹配到任何行时，MAX(num)会返回DBNull，直接用Convert.ToInt32()转换会抛出空引用/类型转换错误，这应该就是你看到的“Obj...”开头的报错。
• SQL注入风险：直接把变量拼接到SQL字符串里，不仅容易因为特殊字符（比如单引号）导致语法错误，还存在严重的注入安全隐患。

修复后的代码示例 #

' 使用参数化查询，彻底避免SQL注入和语法拼接问题
drqry = "SELECT ISNULL(max(num), 0) FROM tbCVinfo WHERE cvabbrv LIKE @abbrv and `year` LIKE @year"
cmd2.CommandText = drqry
cmd2.Connection = con

' 添加参数，通配符%要加在参数值里，不要写在SQL语句中
cmd2.Parameters.AddWithValue("@abbrv", "%" & abbrv & "%")
cmd2.Parameters.AddWithValue("@year", "%" & year & "%")

' 用ExecuteScalar直接获取单行单列结果，无需多余的DataReader操作
Dim resultObj As Object = cmd2.ExecuteScalar()
' 处理可能的DBNull情况，无结果时默认返回0
Dim cv As Integer = If(resultObj Is DBNull.Value, 0, Convert.ToInt32(resultObj))

关键修复点说明 #

• 参数化查询：把变量替换为参数，既解决了字符串拼接的语法问题，又从根源避免了SQL注入风险。
• 处理空结果：用SQL的ISNULL(max(num), 0)直接在数据库层面处理无匹配行的情况，或者在代码里判断返回值是否为DBNull.Value，灵活设置默认值。
• 简化执行逻辑：ExecuteScalar()专门用于获取单行单列的查询结果，比DataReader更简洁高效，不需要额外的读取和关闭操作。

如果要使用你注释掉的那条备用SQL语句，记得同样改成参数化查询，并处理DBNull的情况哦。

内容的提问来源于stack exchange，提问作者DIANA ROSE ARNAIZ