Delphi ADOQuery未使用解析参数值，报“FROM子句语法错误”

核心问题 #

SQL参数化查询的参数仅支持传递数据值（如WHERE子句的条件值），不能用来替换表名、列名这类数据库对象名称。当你尝试用:ATABLE作为表名参数时，ADO会将其解析为字符串值，最终执行的SQL会变成类似SELECT * FROM 'ACCOUNTS'的格式——这种写法不符合SQL语法，因此触发"FROM子句语法错误"。

可行解决方案 #

方案1：安全拼接表名

直接将表名拼接到SQL语句中，但必须对输入的recordType做严格校验，避免非法表名或SQL注入风险：

procedure TfrmDataModule.FindAllRecords(Sender: TObject; recordType: Integer);
var
  ADOQuery : TADOQuery;
  currentRecordType: string;
begin
  case recordType of
    1 : currentRecordType := 'ACCOUNTS';
    2 : currentRecordType := 'CONTACTS';
    3 : currentRecordType := 'USERS';
  else
    MessageDlg('无效的记录类型', mtError, [mbOK], 0);
    Exit;
  end;

  ADOQuery := TADOQuery.Create(Self);
  try
    ADOQuery.Connection := ADOConn;
    // 直接拼接合法表名到SQL
    ADOQuery.SQL.Text := Format('SELECT * FROM %s', [currentRecordType]);
    
    try
      ADOQuery.Active := True;
    except
      on e: EADOError do
      begin
        MessageDlg('查询错误: ' + e.Message, mtError, [mbOK], 0);
        Exit;
      end;
    end;

    DataSrc := TDataSource.Create(Self);
    DataSrc.DataSet := ADOQuery;
    DataSrc.Enabled := true;
  except
    ADOQuery.Free;
    raise;
  end;
end;

方案2：预定义SQL语句（更安全）

提前为每个表编写对应的SQL语句，根据recordType直接选择，完全避免字符串拼接：

procedure TfrmDataModule.FindAllRecords(Sender: TObject; recordType: Integer);
var
  ADOQuery : TADOQuery;
  SQLStr: string;
begin
  case recordType of
    1 : SQLStr := 'SELECT * FROM ACCOUNTS';
    2 : SQLStr := 'SELECT * FROM CONTACTS';
    3 : SQLStr := 'SELECT * FROM USERS';
  else
    MessageDlg('无效的记录类型', mtError, [mbOK], 0);
    Exit;
  end;

  ADOQuery := TADOQuery.Create(Self);
  try
    ADOQuery.Connection := ADOConn;
    ADOQuery.SQL.Text := SQLStr;
    
    try
      ADOQuery.Active := True;
    except
      on e: EADOError do
      begin
        MessageDlg('查询错误: ' + e.Message, mtError, [mbOK], 0);
        Exit;
      end;
    end;

    DataSrc := TDataSource.Create(Self);
    DataSrc.DataSet := ADOQuery;
    DataSrc.Enabled := true;
  except
    ADOQuery.Free;
    raise;
  end;
end;

关于ADOQUERY.SQL.GetText的说明 #

你看到SQL语句仍保留占位符:ATABLE是正常现象。参数化查询的SQL模板会原样保留，参数值是在执行时由ADO单独传递给数据库的，不会直接替换到SQL字符串中，因此GetText无法看到实际参数值。

内容的提问来源于stack exchange，提问作者Harrebow