ms-access - 使用 SQL 添加撇号的更好方法？ - Access VBA

Question

我正在为 Access 创建记事本应用程序 - 只是为了保持敏锐。我已经创建了用于容纳记事本的表单和用于各种功能的几个按钮。记事本作为 Memo 保存到名为 tblContents 的表中 - 这是因为文本有 255 个字符的限制。

我从 SO 复制了大量文本并意识到撇号问题。您会看到，在将文本保存到表中时，我运行了一条 SQL 语句，该语句在添加撇号时需要具有特定的语法(此时我不记得了)才能运行。

为了准确维护用户输入的内容，包括撇号和所有内容，有没有办法使用相同的 SQL 添加它？我不想遍历输入并删除所有撇号。

这是我添加用户输入内容的代码:

'Save the memo
Public Sub SaveMemo()

    'Examine the memo object
With Forms!frmNotepad!memo

    'Set focus to memo in order to get length
    .SetFocus

    If Len(.Text) > 0 Then

        'Save to table
        Dim memoContents As String
        memoContents = .Text

        Dim strSQL As String
        strSQL = "INSERT INTO tblContents (Contents)" & _
                 "VALUES ( '" & memoContents & "' ); "

        'Set the database and execute the SQL
        Dim db As Database
        Set db = CurrentDb

        db.Execute strSQL, dbFailOnError

    Else

        MsgBox ("Nothing to save!")

    End If

End With


End Sub

Answer 1

如果您一直在这里(和其他地方)挖掘示例代码，那么您可能遇到过术语SQL 注入(inject)。这是一种机制，用户输入包含撇号(和其他有趣的事情)可能会产生令人惊讶的，有时甚至是严重的副作用。

如果您在 Access 本身内操作，那么您可以通过使用 Recordset 更新表来省去一些麻烦。您可以使用

而不是运行 INSERT 语句

Dim cdb As DAO.Database, rst As DAO.Recordset
Set cdb = CurrentDb
Set rst = cdb.OpenRecordset("tblContents", dbOpenDynaset)
rst.AddNew
rst!Contents = memoContents
rst.Update
rst.Close
Set rst = Nothing
Set cdb = Nothing

这样您就不必担心转义字符或被 SQL 注入(inject)绊倒。