sql问题，大家帮忙哈

<%
dim idnum
idnum=request.QueryString("idnum")
sql="select * from diandian where id="&idnum&" and flag=1 and haoyou='"&session("user")&"' or user='"&session("user")&"'"
Set rs= Server.CreateObject("ADODB.Recordset")
rs.open sql,conn,1,3

%>

idnum我传递的是7 ，但是为什么收索出来的数据是idnum是5

select * from diandian where id="&idnum&" and flag=1 and haoyou=' XXXX' or user='XXXX'

注意的你SQL命令后面有个OR ,前面的都不成立,只要OR后成立也会输出的,

sql="select * from diandian where id="&idnum&" and flag=1 and ( haoyou='"&session("user")&"' or user='"&session("user")&"')" 加括号