ms Access数据库的更新语句中的语法错误

Question

我正在vb.net中使用带有ms访问数据库的 update语句，但这告诉我update语句中存在语法错误 ...请帮助我，我在这里缺少什么？

cmd.CommandText = "Update Student set RegNo = '" & TextBox14.Text  "', StudName = '" & 
    TextBox2.Text & "', DateAdd = '" & DateTimePicker1.Text & "', DOB = '" & DateTimePicker2.Text & 
    "', Age = '" & TextBox3.Text & "', Gender = '" & ComboBox2.Text & "', PrAddress = '" & 
    TextBox4.Text & "', PeAddress = '" & TextBox5.Text & "', FName = '" & TextBox6.Text & 
    "', FMobile = '" & TextBox8.Text & "', FOccupation = '" & TextBox7.Text & "', Income = '" & 
    TextBox10.Text & "', Pschool = '" & TextBox9.Text & "', Nationality = '" & ComboBox3.Text & 
    "', Area = '" & ComboBox1.Text & "', BPlace = '" & TextBox12.Text & "', Religion = '" & 
    TextBox13.Text & "', AdmitedTo = '" & ComboBox4.Text & "', Status = '" & status & 
    "', DateLeft = '" & DateLeft & "', Remarks = '" & lremark & "', LeavingReason = '" & lreason & 
    "',  where RollNo = '" & ComboBox5.Text & "' "

Answer 1

您在where子句之前的末尾有一个多余的,删除它，语法就可以了。

cmd.CommandText = "Update Student set RegNo = '" & TextBox14.Text & _
    "', StudName = '" & TextBox2.Text & _ 
    "', DateAdd = '" & DateTimePicker1.Text & _ 
    "', DOB = '" & DateTimePicker2.Text & _ 
    "', Age = '" & TextBox3.Text & _ 
    "', Gender = '" & ComboBox2.Text & _ 
    "', PrAddress = '" & TextBox4.Text & _ 
    "', PeAddress = '" & TextBox5.Text & _ 
    "', FName = '" & TextBox6.Text & _ 
    "', FMobile = '" & TextBox8.Text & _ 
    "', FOccupation = '" & TextBox7.Text & _ 
    "', Income = '" & TextBox10.Text & _ 
    "', Pschool = '" & TextBox9.Text & _ 
    "', Nationality = '" & ComboBox3.Text & _ 
    "', Area = '" & ComboBox1.Text & _ 
    "', BPlace = '" & TextBox12.Text & _ 
    "', Religion = '" & TextBox13.Text & _ 
    "', AdmitedTo = '" & ComboBox4.Text & _ 
    "', Status = '" & status & _ 
    "', DateLeft = '" & DateLeft & _ 
    "', Remarks = '" & lremark & _ 
    "', LeavingReason = '" & lreason & _ 

   ' at the beginning of this next string you had an extra comma after the closing tick
    "' WHERE RollNo = '" & ComboBox5.Text & "' "

其他注意事项

• 请勿将值串联用于您的值。 而是使用参数。 请参阅如何将用户提供的输入添加到SQL语句？ ，第二个答案特定于vb.net。
  • 在Access中使用参数时，必须始终牢记它们是位置性的而不是命名的。 添加到参数集合的第一个参数必须与sql字符串中的第一个参数相对应。 您应该/可以使用问号? 作为占位符来提醒您这一点，而不是命名参数。
  • 始终在参数集合中指定参数的正确数据类型。
  • 始终通过参数的本机值（而不是转换后的字符串值）传递参数。 如果您的代码中只有一个字符串值，请先将其转换为原始值。 示例： DateTimePicker2.Text <=不获取Text，而是获取值，或者将其解析为DateTime实例（如果它是文本框）。
• 用方括号[]括住您的访问对象名称。 此首选项并非总是必需的，但有时您希望使用保留的名称，例如user 。

Answer 2

看看这更具可读性。 这样可以更轻松地在SET列表的末尾发现诸如逗号之类的内容。 这还可以自动处理诸如SQL注入，日期格式和注释或名称字段中的特殊字符之类的问题。

cmd.CommandText = _
    "UPDATE Student " & 
     "SET RegNo = ?, StudName = ?, DateAdd = ?, DOB = ?, Age = ?, Gender = ?, " &
         "PrAddress = ?, PeAddress = ?, FName = ?, FMobile = ?, FOccupation = ?, Income = ?, " &
         "Pschool = ?, Nationality = ?, Area = ?, BPlace = ?, Religion = ?, AdmitedTo = ?, " & 
         "Status = ?, DateLeft = ?, Remarks = ?, LeavingReason = ? " & 
     "WHERE  RollNo = ?"

'Had to guess at columns types/lengths here.
' Edit it to use the actual column types/lengths from the database.
cmd.Parameters.Add("RegNo", OleDbType.Integer).Value = CInt(TextBox14.Text)
cmd.Paramerers.Add("StudName", OleDbType.VarWChar, 20).Value = TextBox2.Text
cmd.Paramerers.Add("DateAdd", OleDbType.Date).Value = DateTimePicker1.Value
cmd.Paramerers.Add("DOB", OleDbType.Date).Value = DateTimePicker2.Value
cmd.Paramerers.Add("Age", OleDbType.Integer) = CInt(TextBox3.Text)
cmd.Parameters.Add("Gender", OleDbtype.VarChar, 15).Value = ComboBox2.Text
cmd.Parameters.Add("PrAddress", OleDbType.VarWChar, 150).Value = TextBox4.Text
cmd.Parameters.Add("PeAddress", OleDbType.VarWChar, 150).Value = TextBox5.Text
cmd.Parameters.Add("FName", OleDbType.VarWChar, 12).Value = TextBox6.Text
cmd.Parameters.Add("FMoble", OleDbType.VarChar, 14).Value = TextBox8.Text
cmd.Parameters.Add("FOccupation ", OleDbType.VarWChar, 25).Value = TextBox7.Text
cmd.Parameters.Add("Income ", OleDbType.Decimal).Value = CDec(TextBox10.Text)
cmd.Parameters.Add("Pschool ", OleDbType.VarWChar, 35).Value = TextBox9.Text
cmd.Parameters.Add("Nationality ", OleDbType.VarWChar, 20).Value = ComboBox3.Text
cmd.Parameters.Add("Area", OleDbType.VarChar, 10).Value =  ComboBox1.Text
cmd.Parameters.Add("BPlace", OleDbType.VarChar, 30).Value = TextBox12.Text
cmd.Parameters.Add("Religion", OleDbType.VarChar, 20).Value = TextBox13.Text
cmd.Parameters.Add("AdmitedTo", OleDbType.VarChar, 10).Value = ComboBox4.Text
cmd.Parameters.Add("Status", OleDbType.VarChar, 10).Value = status 
cmd.Parameters.Add("DateLeft", OleDbType.Date).Value = DateLeft
cmd.Parameters.Add("Remarks", OleDbType.VarWChar, 1000).Value = lremark
cmd.Parameters.Add("LeavingReason", OleDbType.VarChar, 30).Value = lreason
cmd.Parameters.Add("RollNo ", OleDbType.Integer).Value = CInt(ComboBox5.Text)

Answer 3

首先，当您像这样用字符串连接SQL时，您很容易受到SQL注入漏洞的攻击。 使用参数化查询既可以减轻该问题，又可以使您的SQL易于阅读。 在您的语句中，基于输入，SQL可能会导致语法错误（如果这些值的任何文本框包含例如引号，那么它将破坏您的SQL，参数化查询还可以通过保留诸如参数中的引号作为参数值的一部分，而不是SQL的一部分）。

大致如下所示：

cmd.CommandText = "update Student set RegNo = @RegNo where RollNo = @RollNo"
cmd.Parameters.AddWithValue("@RegNo", TextBox14.Text)
cmd.Parameters.AddWithValue("@RollNo", ComboBox5.Text)
cmd.ExecuteNonQuery()