如何在MyAccess中将表名作为参数传递？参数化引发MySQL语法错误

SQL参数化机制的设计初衷是用来传递数据值的，像表名、列名这类数据库标识符并不支持用参数传递——驱动会自动给参数加上引号，这就导致你的SQL语法错误，因为MySQL里表名不需要加单引号。

正确的实现方式是先做白名单校验，再手动拼接表名，具体步骤如下：

1. 白名单校验是核心：必须确保要使用的表名属于你预先定义的合法列表，彻底避免SQL注入风险。
2. 安全拼接SQL语句：校验通过后，把合法的表名拼接到SQL里，如果表名包含特殊字符（空格、关键字等），用MySQL的反引号（`）包裹。

代码示例 #

// 预先定义允许使用的表名白名单
const AllowedTables: array[0..1] of string = ('testtable', 'other_valid_table');
var TargetTable: string;
begin
  TargetTable := 'testtable'; // 这里可以是业务逻辑中获取的表名
  // 第一步：校验表名是否在白名单内
  if not (TargetTable in AllowedTables) then
    raise Exception.Create('不允许操作的表名');
  
  // 第二步：拼接SQL，用反引号处理特殊表名
  query.SQL.Text := Format('INSERT INTO `%s` VALUES (2, ''John'', 1.1);', [TargetTable]);
  query.ExecSQL;
end;

重要提醒 #

绝对不要直接拼接未经过校验的用户输入作为表名，这种做法会直接暴露SQL注入漏洞，可能导致数据库被篡改或泄露。所有要使用的表名必须来自可信的来源，或者通过白名单严格过滤。

内容的提问来源于stack exchange，提问作者John John