INSERT INTO语句语法错误：VB.NET数据库插入代码问题排查求助

嘿，我帮你找出了几个导致INSERT INTO语法错误的核心问题，还有一些必须优化的安全点：

• 表名格式错误：你的表名是Student Information，中间包含空格，数据库会把它拆成两个独立的标识符，必须用方括号[Student Information]包裹整个表名，这样数据库才能识别它是一个完整的表名。

• INSERT语句结构缺失：你写的SQL完全遗漏了VALUES关键字，而且没有指定要插入的列名（虽然值顺序和表列顺序完全一致时可以省略列名，但这是非常不推荐的——表结构一旦修改，代码直接失效）。正确的INSERT语法结构应该是：

  INSERT INTO [表名] (列名1, 列名2, ...) VALUES (值1, 值2, ...)
  

• 字符串拼接的安全风险：直接把用户输入拼接到SQL语句里，不仅会因为输入中的单引号（比如名字O'Neil）触发语法错误，还会导致严重的SQL注入攻击。必须用参数化查询解决这个问题。

修正后的完整代码 #

Private Sub Button1_Click(ByVal sender As System.Object, ByVal e As System.EventArgs) Handles Button1.Click
    Dim cs As String = "Provider=Microsoft.ACE.OLEDB.12.0;Data Source=|DataDirectory|\coder.accdb"
    
    ' 使用Using语句自动释放连接/命令资源，避免泄漏
    Using con As New OleDbConnection(cs)
        con.Open()
        ' 替换成你Student Information表中实际的列名，确保顺序匹配
        Dim sql As String = "INSERT INTO [Student Information] (ID, RollNo, FirstName, LastName, ParentClass, ParentName, MotherName, FatherOccupation, MotherOccupation, Address, Contact, Landline, PreviousSchool) VALUES (?, ?, ?, ?, ?, ?, ?, ?, ?, ?, ?, ?, ?)"
        
        Using cmd As New OleDbCommand(sql, con)
            ' 按SQL中?的顺序添加参数（OleDb按位置匹配，不是参数名）
            cmd.Parameters.AddWithValue("@ID", txtid.Text)
            cmd.Parameters.AddWithValue("@RollNo", txtroll.Text)
            cmd.Parameters.AddWithValue("@FirstName", txtfname.Text)
            cmd.Parameters.AddWithValue("@LastName", txtlname.Text)
            cmd.Parameters.AddWithValue("@ParentClass", txtpclass.Text)
            cmd.Parameters.AddWithValue("@ParentName", txtpname.Text)
            cmd.Parameters.AddWithValue("@MotherName", txtmname.Text)
            cmd.Parameters.AddWithValue("@FatherOccupation", txtfoccupation.Text)
            cmd.Parameters.AddWithValue("@MotherOccupation", txtmoccupation.Text)
            cmd.Parameters.AddWithValue("@Address", txtaddress.Text)
            cmd.Parameters.AddWithValue("@Contact", txtcontact.Text)
            cmd.Parameters.AddWithValue("@Landline", txtlandl.Text)
            cmd.Parameters.AddWithValue("@PreviousSchool", txtpschool.Text)
            
            Try
                Dim i As Integer = cmd.ExecuteNonQuery()
                ' ExecuteNonQuery返回受影响行数，插入成功应该返回1
                If i > 0 Then
                    MessageBox.Show("Data saved Successfully", "Success!", MessageBoxButtons.OK, MessageBoxIcon.Information)
                Else
                    MessageBox.Show("Data not saved Successfully", "Unsuccessfull!", MessageBoxButtons.RetryCancel, MessageBoxIcon.Error)
                End If
            Catch ex As Exception
                ' 捕获异常方便调试
                MessageBox.Show($"Error saving data: {ex.Message}", "Error", MessageBoxButtons.OK, MessageBoxIcon.Error)
            End Try
        End Using
    End Using
End Sub

额外说明 #

1. 一定要把SQL语句里的列名替换成你Student Information表中实际的列名称，参数顺序要和SQL里的?占位符顺序完全一致（OleDb是按位置匹配参数，不是参数名）。
2. Using语句会自动帮你释放数据库连接和命令对象，避免资源泄漏问题。
3. 添加了Try-Catch块可以捕获并展示异常信息，方便你排查其他潜在问题。

内容的提问来源于stack exchange，提问作者jay singh