Delphi中如何用日期编写SQL？参数化后失效问题排查

你的参数化写法存在两个关键错误：

1. 表名无法通过参数绑定 #

SQL参数化仅支持字段值的替换，表名、列名这类属于SQL结构的元素，不能用:symbol这种参数形式。数据库会把:symbol解析成一个普通值而非表名，导致查询逻辑错误。
解决方式：表名仍需用字符串拼接，但如果symbol来自用户输入，必须做白名单验证，避免SQL注入风险。

2. 日期参数的处理逻辑错误 #

你给日期参数手动添加单引号并转成字符串，完全违背了参数化的设计初衷：

• 参数化会自动处理日期类型的格式转换与安全转义，不需要手动加单引号
• 直接使用AsDateTime赋值，让FireDAC自动匹配数据库的日期类型，避免格式不兼容问题

修正后的参数化代码 #

FDQuery.Connection := FDConnection1;
// 表名保留字符串拼接，注意提前做安全验证
FDQuery.SQL.Text := 'SELECT * FROM ' + symbol + ' WHERE date >= :Dfrom AND date <= :Dto';
// 日期参数直接用AsDateTime赋值，无需转字符串加引号
FDQuery.ParamByName('Dfrom').AsDateTime := Dfrom;
FDQuery.ParamByName('Dto').AsDateTime := Dto;
FDQuery.Active := True;

表名拼接的安全补充示例 #

如果symbol是外部传入的值，建议通过白名单验证合法性：

const ValidTables: array[0..1] of string = ('orders', 'products');
if not (symbol in ValidTables) then
  raise Exception.Create('非法表名');

内容的提问来源于stack exchange，提问作者Int20h