SQL-Anweisung Fehler in VBA

Question

Ich habe ein Access-Formular, das eine Insert-Anweisung enthält.

Der Code funktioniert sehr gut, aber das Problem, wenn ich einen Text eingeben, der einen Apostroph enthält ':

strSQL = "INSERT INTO student (stname) VALUES ('" & stname.Value & "')" 

DoCmd.RunSQL strSQL 

wenn stname.value = Ra'ed or ka'l

dann falsche Aussage wird

Answer 1

Generell würde ich mit marc_s in Bezug auf die SQL-Injection-Warnung einigen. Doch für eine schnelle und schmutzige Lösung auf einem nicht-unternehmenskritischen db, die Sie nicht andere Benutzer möglicherweise in Hacking Geist oder sonst Messing mit, würden Sie

strSQL = "INSERT INTO student (stname) VALUES ('" & Replace (stname.Value, "'", "''") & "')" 

Answer 2

ein DAO parameterized query betrachten, die erlaubt verbindliche Werte ohne Anführungszeichen. Access-Abfragen ermöglicht die PARAMETERS Klausel, die mit externen Werten binded werden können:

Dim db As Database 
Dim qdef As QueryDef 
Dim strSQL As String 

Set db = CurrentDb 

' PREPARE STATEMENT (STRING CAN BE A SAVED QUERY) 
strSQL = "PARAMETERS [strValParam] Text(255);" _ 
      & " INSERT INTO student (stname) VALUES ([strValParam]);" 

' INITIALIZE QUERYDEF OBJECT (REPLACE EMPTY STRING "" FOR SAVED QUERY NAME AND NO STRSQL) 
Set qdef = db.CreateQueryDef("", strSQL) 

' BIND VALUE (SINGLE/DOUBLE/SPECIAL CHARS ALL ALLOWED) 
qdef!strValParam = stname.Value 

' EXECUTE ACTION QUERY 
qdef.Execute 

Set qdef = Nothing 
Set db = Nothing