我正在UPDATE
中执行TADOQuery
语句,我正在使用参数进行一些操作。最初,这工作正常,但我为表名和字段名添加了另一个参数,现在它正在破坏。
代码如下所示:
Q.SQL.Text:= 'update :tablename set :fieldname = :newid where :fieldname = :oldid';
Q.Parameters.ParamValues['tablename']:= TableName;
Q.Parameters.ParamValues['fieldname']:= FieldName;
Q.Parameters.ParamValues['oldid']:= OldID;
Q.Parameters.ParamValues['newid']:= NewID;
我得到的错误:
我假设这是因为我使用这个字段名称两次。我可以通过第二次使用另一个唯一的字段名称来解决这个问题,但是我仍然有另一个错误:
如何使用参数指定要更新的表和字段?
答案 0 :(得分:5)
查询参数不是为了参数化表名而设计的。
可以做的是在SQL中使用占位符作为表名,然后使用Format
函数替换那些具有表名的函数,以及然后像往常一样使用其他值的参数。从SQL注入开始相对安全(恶意的人必须知道精确的表名,正在使用的特定SQL语句以及提供参数的值)。
const
QryText = 'update %s set :fieldname = :newid where :fieldname = :oldid';
begin
Q.SQL.Text := Format(QryText, [TableName]);
Q.Parameters.ParamValues['fieldname'] := FieldName;
Q.Parameters.ParamValues['oldid'] := OldID;
Q.Parameters.ParamValues['newid'] := NewID;
...
end;