在MS Access中规避SQL注入：参数化SQL实现方法咨询

嘿，很高兴你意识到用参数化SQL来防范SQL注入的重要性——这绝对是正确的方向！针对你这个Access VBA的客户录入场景，我来一步步教你把原来的拼接SQL改成参数化版本，彻底规避注入风险。

首先得明确：原来的字符串拼接方式最大的问题是，用户输入的内容会被数据库当作SQL命令的一部分解析。比如有人在姓名框输入O'Neil会直接报错，更危险的是输入'); DROP TABLE tblCustomer;--这种恶意内容，可能直接破坏你的数据库。参数化的核心逻辑是把数据和SQL命令逻辑彻底分开，数据库会将参数视为纯数据，不会解析成SQL指令。

下面给你两种最适合Access场景的参数化实现方式：

方法1：使用Access原生QueryDef（推荐） #

这种方式是Access本地开发的首选，操作简单，还能利用Access的参数校验机制。

实现步骤&代码示例 #

Sub AddCustomer_WithQueryDef()
    Dim qdf As QueryDef
    Dim strSQL As String
    
    ' 1. 定义带参数占位符的SQL语句，用[参数名]作为占位符
    strSQL = "INSERT INTO tblCustomer (CustName, Phone, Address) " & _
             "VALUES ([pCustName], [pPhone], [pAddress])"
    
    ' 2. 创建临时QueryDef对象
    Set qdf = CurrentDb.CreateQueryDef("", strSQL)
    
    ' 3. 给参数赋值，直接用控件值，完全不需要手动转义
    qdf.Parameters("pCustName").Value = Me.txtName.Value
    qdf.Parameters("pPhone").Value = Me.txtPhone.Value
    qdf.Parameters("pAddress").Value = Me.txtAddress.Value
    
    ' 4. 执行插入，dbFailOnError确保出错时抛出提示
    qdf.Execute dbFailOnError
    
    ' 清理对象，避免内存泄漏
    Set qdf = Nothing
    
    MsgBox "客户信息录入成功！"
End Sub

方法2：使用ADO Command对象（通用性更强） #

如果你的代码需要连接外部数据库（比如SQL Server），或者习惯用ADO操作数据，这种方式更通用。

实现步骤&代码示例 #

Sub AddCustomer_WithADO()
    Dim conn As ADODB.Connection
    Dim cmd As ADODB.Command
    Dim strSQL As String
    
    ' 1. 建立数据库连接（Access本地直接用CurrentProject.Connection）
    Set conn = CurrentProject.Connection
    
    ' 2. 定义SQL，用?作为参数占位符
    strSQL = "INSERT INTO tblCustomer (CustName, Phone, Address) VALUES (?, ?, ?)"
    
    ' 3. 初始化Command对象
    Set cmd = New ADODB.Command
    cmd.ActiveConnection = conn
    cmd.CommandText = strSQL
    cmd.CommandType = adCmdText
    
    ' 4. 添加参数并赋值，注意顺序必须和SQL里的?一一对应
    cmd.Parameters.Append cmd.CreateParameter("pName", adVarChar, adParamInput, 255, Me.txtName.Value)
    cmd.Parameters.Append cmd.CreateParameter("pPhone", adVarChar, adParamInput, 50, Me.txtPhone.Value)
    cmd.Parameters.Append cmd.CreateParameter("pAddress", adVarChar, adParamInput, 1000, Me.txtAddress.Value)
    
    ' 5. 执行插入命令
    cmd.Execute
    
    ' 清理对象
    Set cmd = Nothing
    Set conn = Nothing
    
    MsgBox "客户信息录入成功！"
End Sub

关键注意事项 #

• 绝对不要依赖转义单引号：这种方式存在漏洞，比如某些编码场景下依然能被绕过，参数化是唯一可靠的防范手段
• QueryDef方式的参数名可以自定义，只要和SQL中的[参数名]对应即可
• ADO方式的?占位符是顺序敏感的，添加参数的顺序必须和SQL中?的顺序完全一致
• 执行时尽量开启错误捕获（比如dbFailOnError），方便排查录入失败的原因

内容的提问来源于stack exchange，提问作者Isaac Reefman