Dcount函数使用参数

Question

我想在我这里的dcount函数中防止sql注入

DCount("[Treasury Name]", "tblTreasuries", "[Treasury Name] = '" & txtTreasuryName & "'")

这个txtTreasuryName是我的表单输入，当然问题是当我输入‘或’时，在表单中我得到一个错误，我不知道正确的方法使此语句参数化

Answer 1

我不明白为什么txtTreasuryName中的"会破坏您的DCount()表达式，但很明显'会破坏您的表达式。

不过，通过使用对文本框的引用，而不是将文本框的值连接到DCount()表达式中，可以避免任何类型的引号字符出现问题。

DCount("*", "tblTreasuries", "[Treasury Name] = Forms!YourFormName!txtTreasuryName")

Answer 2

如果可以输入"Name1","Name2"，则使用IN

Textbox holds: "Name1","Name2"

Count = DCount("*", "tblTreasuries", "[Treasury Name] In (" & Me!txtInput.Value & ")")